home *** CD-ROM | disk | FTP | other *** search
/ CD Direkt 1995 #6 / CDD_6_95.ISO / cdd / avirus / tbavw634 / tbav.doc < prev    next >
Encoding:
Text File  |  1995-03-01  |  341.4 KB  |  8,131 lines
  1.  
  2.  
  3. TBAV Handbuch (C) 1993 Thunderbyte B.V.                                 INHALT
  4.  
  5.  
  6.  
  7.      KAPITEL 0. EINFÜHRUNG
  8.           1. Zum Gebrauch dieses Handbuchs . . . . . . . . . . . . .     0 - 1
  9.           2. Überblick über die TBAV-Utilities . . . . . . . . . . .     0 - 1
  10.  
  11.      KAPITEL I. INSTALLATION VON TBAV
  12.           1. TBAV installieren . . . . . . . . . . . . . . . . . . .     I - 1
  13.                1.1 Erstinstallation  . . . . . . . . . . . . . . . .     I - 1
  14.                1.2 Windows . . . . . . . . . . . . . . . . . . . . .     I - 4
  15.           2. Konfiguration . . . . . . . . . . . . . . . . . . . . .     I - 6
  16.           3. TbSetup . . . . . . . . . . . . . . . . . . . . . . . .     I - 8
  17.                3.1. Der Zweck von TbSetup  . . . . . . . . . . . . .     I - 8
  18.                3.2. Benutzung von TbSetup  . . . . . . . . . . . . .     I - 8
  19.                3.3. Startoptionen  . . . . . . . . . . . . . . . . .    I - 13
  20.                3.4. Programmablauf . . . . . . . . . . . . . . . . .    I - 15
  21.           4. TbDriver  . . . . . . . . . . . . . . . . . . . . . . .    I - 18
  22.                4.1. Der Zweck von TbDriver . . . . . . . . . . . . .    I - 18
  23.                4.2. Startoptionen  . . . . . . . . . . . . . . . . .    I - 18
  24.                4.3. Sprachunterstützung  . . . . . . . . . . . . . .    I - 20
  25.           5. Systempflege  . . . . . . . . . . . . . . . . . . . . .    I - 21
  26.           6. Netzwerkpflege  . . . . . . . . . . . . . . . . . . . .    I - 23
  27.                6.1. Verwenden von DOS REPLACE  . . . . . . . . . . .    I - 23
  28.                6.2. Verwenden von PkUnZip  . . . . . . . . . . . . .    I - 23
  29.  
  30.      KAPITEL II. ANTI-VIREN-STRATEGIE
  31.           1. Schutz gegen Viren  . . . . . . . . . . . . . . . . . .    II - 1
  32.                1.1. Einführung . . . . . . . . . . . . . . . . . . .    II - 1
  33.                1.2. Grundsätzliche Vorkehrungen  . . . . . . . . . .    II - 1
  34.           2. Was bei einem Virenbefall zu tun ist  . . . . . . . . .    II - 6
  35.                2.1. Aufspüren von Viren  . . . . . . . . . . . . . .    II - 6
  36.                2.2. Beseitigung von Viren  . . . . . . . . . . . . .    II - 7
  37.  
  38.      KAPITEL III. VERWENDUNG DER TBAV-UTILITIES
  39.           1. TbScan  . . . . . . . . . . . . . . . . . . . . . . .     III - 1
  40.                1.1. Der Zweck von TbScan . . . . . . . . . . . . .     III - 1
  41.                1.2. Benutzung von TbScan . . . . . . . . . . . . .     III - 2
  42.                1.3. Startoptionen  . . . . . . . . . . . . . . . .     III - 9
  43.                1.4. Der Scan-Vorgang . . . . . . . . . . . . . . .    III - 14
  44.           2.  TbScanX  . . . . . . . . . . . . . . . . . . . . . .    III - 18
  45.                2.1. Der Zweck von TbScanX  . . . . . . . . . . . .    III - 18
  46.                2.2. Benutzung von TbScanX  . . . . . . . . . . . .    III - 18
  47.                2.3. Startoptionen  . . . . . . . . . . . . . . . .    III - 19
  48.                2.4. Der Scan-Vorgang . . . . . . . . . . . . . . .    III - 22
  49.           3.  TbCheck  . . . . . . . . . . . . . . . . . . . . . .    III - 23
  50.                3.1. Der Zweck von TbCheck  . . . . . . . . . . . .    III - 23
  51.                3.2. Benutzung von TbCheck  . . . . . . . . . . . .    III - 23
  52.                3.3. Startoptionen  . . . . . . . . . . . . . . . .    III - 24
  53.                3.4. Während der Überprüfung  . . . . . . . . . . .    III - 26
  54.                3.5. TbCheck testen . . . . . . . . . . . . . . . .    III - 26
  55.           4. TbClean . . . . . . . . . . . . . . . . . . . . . . .    III - 27
  56.                4.1. Der Zweck von  . . . . . . . . . . . . . . . .    III - 27
  57.                4.2. Benutzung von TbClean  . . . . . . . . . . . .    III - 28
  58.                4.3. Startoptionen  . . . . . . . . . . . . . . . .    III - 30
  59.                4.4. Der Cleaning-Prozeß  . . . . . . . . . . . . .    III - 31
  60.  
  61.  
  62. TBAV Handbuch (C) 1993 Thunderbyte B.V.                                 INHALT
  63.  
  64.  
  65.           5. Fortlaufende Viren-Prävention: TbMon  . . . . . . . .    III - 35
  66.                5.1. TbMem  . . . . . . . . . . . . . . . . . . . .    III - 37
  67.                5.2. TbFile . . . . . . . . . . . . . . . . . . . .    III - 40
  68.                5.3. TbDisk . . . . . . . . . . . . . . . . . . . .    III - 42
  69.           6. TBAV-Tools  . . . . . . . . . . . . . . . . . . . . .    III - 48
  70.                6.1. TbUtil . . . . . . . . . . . . . . . . . . . .    III - 48
  71.                6.2. StackMan . . . . . . . . . . . . . . . . . . .    III - 56
  72.  
  73.      KAPITEL IV. INFORMATIONEN FÜR FORTGESCHRITTENE ANWENDER
  74.           1. Speicheranforderungen . . . . . . . . . . . . . . . . .    IV - 1
  75.           2. TbSetup . . . . . . . . . . . . . . . . . . . . . . . .    IV - 3
  76.                2.1. Hinweise zur Gestalt der Anti-Vir.Dat-Dateien  .    IV - 3
  77.                2.2. Format der TbSetup.Dat . . . . . . . . . . . . .    IV - 3
  78.                2.3. TBAV-Installation auf mehreren Rechnern  . . . .    IV - 5
  79.           3. TbScan  . . . . . . . . . . . . . . . . . . . . . . . .    IV - 7
  80.                3.1. Die heuristische Suche . . . . . . . . . . . . .    IV - 7
  81.                3.2. Integritätsprüfung . . . . . . . . . . . . . . .    IV - 8
  82.                3.3. Programme zulassen . . . . . . . . . . . . . . .    IV - 9
  83.                3.4. Die Algorithmen  . . . . . . . . . . . . . . . .    IV - 9
  84.                3.5. Die TbScan.Lng-Datei  . . . . . . . . . . . . .     IV - 10
  85.           4. TbClean . . . . . . . . . . . . . . . . . . . . . . .     IV - 12
  86.           5. TbGensig  . . . . . . . . . . . . . . . . . . . . . .     IV - 15
  87.                5.1 Der Zweck von TbGenSig  . . . . . . . . . . . .     IV - 15
  88.                5.2 Signaturen definieren . . . . . . . . . . . . .     IV - 15
  89.                5.3 Schlüsselworte  . . . . . . . . . . . . . . . .     IV - 18
  90.                5.4 Platzhalter . . . . . . . . . . . . . . . . . .     IV - 21
  91.  
  92.      ANHANG A. TBAV-Meldungen
  93.  
  94.      ANHANG B. TbScan - Beschreibung der heuristischen Flags
  95.  
  96.      ANHANG C. Lösen von Kompatbilitätsproblemen
  97.  
  98.      ANHANG D. Exit-Codes
  99.  
  100.      ANHANG E. Benennung von Viren
  101.  
  102.  
  103.  
  104. TBAV Handbuch (C) 1993 Thunderbyte B.V.                              KAPITEL 0
  105.  
  106.  
  107. KAPITEL 0. EINFÜHRUNG
  108.  
  109.  
  110. 1. Zum Gebrauch dieses Handbuchs
  111.  
  112.      Gratulation! Durch den Erwerb der der ThunderBYTE Anti-Viren-Utilities
  113.      haben Sie den ersten Schritt unternommen, einen sicheren Schutzwall um
  114.      Ihr Computersystem zu errichten. Eine angemessene Abwehr unter Verwen-
  115.      dung der TBAV-Utilities aufzubauen, ist eine 'persönliche Angelegen-
  116.      heit'. Deshalb empfehlen wir Ihnen dringend, dieses Handbuch gründlich
  117.      durchzuarbeiten, um zu klären, welche der unterschiedlichen Sicherheits-
  118.      maßnahmen Sie einsetzen sollten.
  119.  
  120.      Dieses Handbuch gliedert sich in vier Hauptkapitel. Im Kapitel I erhal-
  121.      ten Sie eine Anleitung, wie Sie die TBAV-Utilities auf Ihrer Festplatte
  122.      installieren. Außerdem geben wir Ihnen hier zusätzliche Tips für eine
  123.      anwenderspezifische Initialisierung. Kapitel II gibt Anweisungen, wie
  124.      Sie durch entsprechende Vorbeugemaßnahmen Viren davon abhalten können,
  125.      Ihr(e) Compuersystem(e) zu infizieren. Zudem erfahren Sie hier, wie Sie
  126.      vorgehen, wenn Sie tatsächlich von einem Computervirus betroffen werden
  127.      sollten.
  128.      
  129.      In Kapitel III wird sowohl Zweck als auch Arbeitsweise aller TBAV-
  130.      Utilities beschrieben. Für alle diejenigen, die detailliertere Infor-
  131.      mationen zum Thema haben wollen, sei auf das Kapitel IV 'Informationen
  132.      für fortgeschrittene Anwender' verwiesen.
  133.  
  134.      Sie können das Handbuch als Referenz-Handbuch verwenden, da der aus-
  135.      führliche Index sowie die Anhänge genauen Aufschluß über die Fehler-
  136.      meldungen von TBAV geben.
  137.  
  138. =>   Beachten Sie bitte, daß es unabdingbar ist, das Handbuch komplett zu
  139.      lesen. Denn nur so werden Sie mit den vielen Facetten der ThunderBYTE
  140.      Anti-Viren-Utilities vertraut, und wissen, welche Schritte Sie unter-
  141.      nehmen können bzw. müssen, um einen angemessenen Schutz gegen Viren
  142.      aufbauen zu können und außerdem voll vorbereitet zu sein für eine
  143.      komplette Wiederherstellung im Falle eines Disasters.
  144.  
  145.  
  146. 2. Überblick über die TBAV-Utilities
  147.  
  148.     Was ist das Thunderbyte Anti-Viren-Paket?
  149.  
  150.     Das Thunderbyte Anti-Viren-Paket ist ein Programmwerkzeug, das entwickelt
  151.     wurde, um sich vor Computer-Viren zu schützen und sie zu beseitigen.
  152.     Wenngleich TBAV sehr stark darauf ausgerichtet ist, auf vielfältige Weise
  153.     einer Vireninfektion vorzubeugen, wäre das Paket unvollständig, böte es
  154.     nicht verschiedene Virenbeseitiger an, mit denen ein System gesäubert
  155.     werden kann - für den sehr unwahrscheinlichen Fall, daß ein Virus die
  156.     Schutzeinrichtungen umgeht. Das Paket besteht daher aus mehreren Pro-
  157.     grammen, von denen Ihnen jedes einzelne dabei hilft, Viren von deren
  158.     zerstörerischem Werk abzuhalten. Hier ein kurzer Überblick.
  159.  
  160.  
  161.  
  162.                                        0 - 1
  163.  
  164.  
  165. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL 0
  166.  
  167.  
  168.     Sammeln von Software-Informationen: TbSetup
  169.  
  170.     TbSetup ist ein Programm, das alle Informationen aus den anderen Pro-
  171.     grammen ihres Systems sammelt. Diese Informationen werden in Dateien mit
  172.  
  173.     der Bezeichnung Anti-Vir.Dat gespeichert. Diese Informationen können dann
  174.     zur Prüfung der Integrität oder Gültigkeit von Programmen eingesetzt
  175.     werden, aber auch um infizierte Dateien von Viren zu reinigen.
  176.  
  177.  
  178.     Ermöglicht die speicherresidenten TBAV-Utilities: TbDriver
  179.  
  180.     TbDriver selbst bietet keinen Schutz vor Viren, muß jedoch geladen
  181.     werden, damit die anderen speicherresidenten Thunderbyte Anti-Viren-
  182.     Utilities wie TbScanX, TbCheck, TbMem, TbFile und TbDisk korrekt ar-
  183.     beiten können. 
  184.  
  185.  
  186.     Scannt nach Viren: TbScan
  187.  
  188.     TbScan is zweierlei: ein sehr schneller Signaturenscanner und ein soge-
  189.     nannter heuristischer Scanner. Neben seiner immensen Geschwindigkeit
  190.     bietet er eine Vielzahl von Konfigurations-Optionen. Er kann Viren-
  191.     Mutanten entdecken, Tarnkappenviren (auch Stealthviren genannt) um-
  192.     gehen, etc. Die von TbScan verwendete Siganturendatei ist eine codierte
  193.     'TbScan.Sig'-Datei, welche von Ihnen im Notfall selbst upgedated werden
  194.     kann. TbScan ist in der Lage, Dateien zu disassemblieren. Dies ermög-
  195.     licht es, verdächtige Instruktionssequenzen zu entdecken und damit auch
  196.     noch nicht bekannte Viren aufzuspüren. Dank dieser umfassenden Suche,
  197.     die als heuristische Analyse bezeichnet wird, ist es möglich, 90% aller
  198.     Viren allein durch das Aufspüren verdächtiger Instruktionssequenzen
  199.     ausfindig zu machen, ohne auch nur eine einzige Signatur zu verwenden.
  200.     Zu diesem Zweck enthält TbScan einen echten Disassembler und Code-Ana-
  201.     lysierer.
  202.  
  203.     Ein anderes Feature von TbScan ist die Integritätsprüfung, die durch-
  204.     geführt wird, wenn TbScan die Anti-Vir.Dat-Dateien, die von TbSetup er-
  205.     stellt wurden, findet. 'Integritätsprüfung' bedeutet, daß TbScan jede
  206.     Datei, die er scannt, auch daraufhin überprüft, ob die Informationen,
  207.     welche in der Anti-Vir.Dat-Datei verwaltet werden, mit der überprüften
  208.     Datei übereinstimmen. Infiziert ein Virus eine Datei, können die gespei-
  209.     cherten Informationen nicht mehr mit denen der veränderten Datei iden-
  210.     tisch sein und TbScan wird Sie hierüber informieren.
  211.  
  212.     TbScan führt die Integritätsprüfung automatisch durch und hat dabei
  213.     gegenüber anderen Integritätsprüfern, eine viel niedrigere Fehlalarm-
  214.     quote. Das Ziel ist es, Viren zu entdecken - und nicht Konfigurations-
  215.     änderungen!
  216.  
  217.  
  218.     Automatisches Scannen: TbScanX
  219.  
  220.     TbScanX ist die speicherresidente Fassung von TbScan. Dieser Signaturen-
  221.     scanner bleibt resident im Speicher und überprüft alle Dateien, die aus-
  222.     geführt, kopiert, entarchiviert, von einer Mailbox geladen werden, usw.
  223.     TbScanX prüft außergewöhnlich schnell und benötigt darüberhinaus kaum
  224.  
  225.                                        0 - 2
  226.  
  227. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL 0
  228.  
  229.  
  230.     konventionellen Speicher. Bereits 1 KByte im hohen Speicherbereich ist
  231.     ausreichend.
  232.  
  233.     Überprüfung beim Laden: TbCheck
  234.  
  235.     TbCheck prüft speicherresidente die Integrität von Dateien. Das Programm
  236.     verbleibt resident im Speicher und prüft automatisch jede Datei, gerade
  237.  
  238.     bevor sie ausgeführt wird. TbCheck arbeitet bei der Integritätsprüfung
  239.     mit einem sehr schnellen Verfahren und benötigt lediglich 400 Bytes
  240.     Speicherplatz. Das Programm kann so konfiguriert werden, daß es Datei-
  241.     en mit falscher Prüfsumme und/oder Dateien, die keinen entsprechenden
  242.     Datensatz in der Datei Anti-Vir.Dat aufweisen, abweist.
  243.  
  244.  
  245.     Wiederherstellen infizierter
  246.     Bootsektoren, CMOS und Partitionstabellen: TbUtil
  247.  
  248.     Einige Viren kopieren sich selbst in die Partitionstabelle der Fest-
  249.     platte. Im Gegensatz zu Bootsektor-Viren lassen sie sich nur schwer
  250.     entfernen. Die einzige Lösung hierfür scheint eine Low-Level-Formatie-
  251.     rung der Festplatte und ein Neuerstellen der Partitionstabelle zu sein.
  252.     Im Vergleich zu solchen radikalen Maßnahmen bietet TbUtil eine weitaus
  253.     angenehmere Alternative an. TbUtil legt ein Backup Ihrer nicht infizier-
  254.     ten Partitionstabelle und Ihres Bootsektors an. Sollten diese in Ihrem
  255.     System infiziert werden, kann das TbUtil-Backup zum Vergleich und zur
  256.     Wiederherstellung der nicht infizierten Original-Partitionstabelle und
  257.     des Bootsektors eingesetzt werden, ohne daß eine Formatierung der Fest-
  258.     platte erforderlich wird. Das Programm kann auch die CMOS-Konfiguration
  259.     wiederherstellen.
  260.     Sollte kein Backup Ihrer Partitionstabelle zur Verfügung stehen, so ver-
  261.     sucht TbUtil dennoch eine neue Partitionstabelle zu erstellen. Auch da-
  262.     durch bleibt Ihnen ein Low-Level-Formatieren erspart.
  263.  
  264.     Eine weitere wichtige Fähigkeit von TbUtil ist es, daß mit seiner Hilfe
  265.     der Code der Partitionstabelle durch einen neuen, virenprüfenden Code
  266.     ersetzt werden kann. Der TbUtil-Partitions-Code wird ausgeführt, bevor
  267.     der Bootsektor die Kontrolle erhält, um so den Bootsektor zu überprüfen,
  268.     bevor Viren geladen sein können. Der TbUtil Partitions-Code führt eine
  269.     CRC-Prüfsummenberechnung des Bootsektor durch, bevor dieser die Kon-
  270.     trolle übergeben bekommt. Sollte sich der Bootsektor verändert haben,
  271.     wird Sie der TbUtil-Partitions-Code darauf hinweisen. Der TbUtil-
  272.     Partitions-Code überprüft auch die Menge des noch freien Speichers und
  273.     zeigt Ihnen an, ob sie sich verändert hat oder nicht. Jedesmal, wenn
  274.     Sie Ihren Computer von der Festplatte aus starten, werden all diese
  275.     Kontrollen durchgeführt.
  276.  
  277.     Bedenken Sie, daß es äußerst schwierig ist, den Bootsektor zu überprüfen,
  278.     nachdem er schon ungeprüft ausgeführt wurde. Während des Bootvorgangs
  279.     könnte sich ein Virus speicherresident geladen haben, und sich daraufhin
  280.     verstecken. Also: TbUtil gibt Ihnen eine sehr große Sicherheit, da es
  281.     aktiv wird, BEVOR der Bootsektor aufgerufen wird. Bedenken Sie auch,
  282.     daß TbUtil wesentlich komfortabler zu bedienen ist, als die herkömmliche
  283.     Methode, von einer virenfreien DOS-Diskette aus zu booten, um eine un-
  284.     beeinflußte Überprüfung des Bootsektors durchführen zu können.
  285.  
  286.                                        0 - 3
  287.  
  288.  
  289. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL 0
  290.  
  291.  
  292.     Rekonstruieren infizierter Dateien: TbClean
  293.  
  294.     TbClean ist ein Programm, um Dateien von Viren zu reinigen. Es benutzt
  295.     die von TbSetup erstellten Anti-Vir.Dat-Dateien, um die Virenbeseitigung
  296.     in den Dateien effektiver zu machen und/oder das Resultat zu überprüfen.
  297.     TbClean kann jedoch auch ohne diese Dateien arbeiten. Dabei disassem-
  298.     bliert und emuliert es die infizierte Datei und rekonstruiert mit Hilfe
  299.     dieser Analyse die Originaldatei.
  300.  
  301.  
  302.     Residenter Wächter: TbMon
  303.  
  304.     TbMon ist ein Set aus speicherresidenten Anti-Viren-Programmen, beste-
  305.     hend aus TbMem, TbFile und TbDisk. Die meisten anderen residenten Anti-
  306.  
  307.     Viren-Produkte bieten Ihnen die Wahl, sie aufzurufen, bevor ein Netzwerk
  308.     gestartet wurde mit dem Effekt, den Schutz im Netz nach der Logon-
  309.     Prozedur zu verlieren oder die Anti-Viren-Software NACH dem einloggen ins
  310.     Netz zu starten, was ein teilweise ungeschütztes System zur Folge hat.
  311.     Die TBAV-Utilities hingegen erkennen Netzwerk-Software und führen die
  312.     notwendigen Maßnahmen durch, um deren Funktionalität zu sichern.
  313.  
  314.  
  315.     Speicherkontrolle: TbMem 
  316.  
  317.     TbMem entdeckt die Versuche von Programmen speicherresident geladen zu
  318.     werden und verhindert, daß ein Programme ohne Erlaubnis resident geladen
  319.     wird. Da es sich bei den meisten Viren um speicherresidente Programme
  320.     handelt, ist diese Methode eine wirkungsvolle Waffe gegen diese Viren,
  321.     unabhängig davon, ob sie bekannt oder unbekannt sind. Die Erlaubnis,
  322.     speicherresident zu werden, wird in der Datei Anti-Vir.Dat gespeichert.
  323.  
  324.  
  325.     Infizierungen verhindern: TbFile
  326.  
  327.     TbFile entdeckt die Versuche von Programmen, andere Programme zu infi-
  328.     zieren. TbFile schützt darüberhinaus Read-Only-Attribute und entdeckt
  329.     fehlerhafte Zeitangaben von Dateien usw. Es stellt sicher, daß kein Virus
  330.     erfolgreich ein Programm infizieren kann.
  331.  
  332.  
  333.     Schutz der Laufwerke: TbDisk
  334.  
  335.     TbDisk entdeckt die Versuche von Programmen, direkt schreibend auf Lauf-
  336.     werke zugreifen zu wollen (ohne die Verwendung von DOS-Funktionen),
  337.     direkte Aufrufe von ROM-BIOS-Funktionen sowie Formatierungsversuche usw.,
  338.     und stellt damit sicher, daß keine heimtückischen Programme Erfolg mit
  339.     der Zerstörung Ihrer Daten haben. Informationen über die wenigen Pro-
  340.     gramme, die die Disketten direkt beschreiben und/oder formatieren dürfen,
  341.     befinden sich in den Anti-Vir.Dat-Dateien.
  342.  
  343.  
  344.     Definieren Sie Ihre eigenen Signaturen (im Notfall): TbGensig
  345.  
  346.     Da die TBAV-Programme bei ihrem Vertrieb mit ihrer direkt verwendbaren
  347.     Signaturen-Datei auf dem neueste Stand sind, brauchen Sie dieses Pro-
  348.     gramm eigentlich gar nicht. Wenn Sie allerdings Ihre eigenen Viren-
  349.  
  350.                                        0 - 4
  351.  
  352. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL 0
  353.  
  354.  
  355.     Signaturen erstellen möchten, brauchen Sie TbGenSig. Sie können hierzu
  356.     veröffentlichte Signaturen verwenden oder Sie definieren eigene, wenn
  357.     Sie mit der Struktur solcher Software genügend vertraut sind.
  358.  
  359.  
  360.     Entfernen infizierter Dateien: TbDel
  361.  
  362.     Wenn Sie eine Datei mittels DOS-Befehl 'DEL' löschen, geht nicht der
  363.     Inhalt der Datei verloren, nur der Name der Datei wird im Verzeichnis
  364.     als gelöscht markiert. Daher ist es möglich, die gelöschte Datei wie-
  365.     derherzustellen. TbDel ist ein kleines Programm, das nur einen einzigen
  366.     aber sehr wichtigen Zweck hat: es ersetzt jedes einzelne Byte in einer
  367.     Datei durch Nullen bevor es die Datei löscht. Damit ist es unmöglich,
  368.     das Programm jemals wiederherzustellen.
  369.  
  370.  
  371.     Ein effektiver Stack-Manager: StackMan
  372.  
  373.     Um Probleme mit speicherresidenter Software ('TSR-Programme)'zu ver-
  374.     meiden, kann DOS einen Vorrat an Stapelspeichern bereitstellen, um einen
  375.     davon zu verwenden, wenn ein Hardware-Interrupt ausgelöst wird. Mit der
  376.     Angabe von Stacks in der Datei config.sys können Anzahl und Größe dieser
  377.     Stacks kontrolliert werden. Die DOS-Stacks haben jedoch einige Nachteile.
  378.     StackMan besitzt die gleiche Funktionalität wie der DOS-Befehl "stacks",
  379.     bietet aber außerdem einige Vorzüge.
  380.  
  381.  
  382.  
  383.  
  384.  
  385.  
  386.  
  387.  
  388.  
  389.  
  390.  
  391.  
  392.  
  393.  
  394.  
  395.  
  396.  
  397.  
  398.  
  399.  
  400.  
  401.  
  402.  
  403.  
  404.  
  405.  
  406.  
  407.  
  408.  
  409.  
  410.  
  411.                                        0 - 5
  412.  
  413.  
  414. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  415.  
  416.  
  417. KAPITEL I. INSTALLATION VON TBAV 
  418.  
  419.  
  420. 1. TBAV installieren
  421.  
  422.      System-Voraussetzungen
  423.  
  424.      Die ThunderBYTE Anti-Viren-Utilities arbeiten auf jedem IBM-kompatiblen
  425.      PC mit mindestens 1 MB freiem Festplattenspeicher. Die TBAV-Utilities
  426.      benötigen 256 KB freien Arbeitsspeicher und DOS 3.0. Empfohlen wird
  427.      allerdings DOS 5.0 oder eine höhere Version. Die TBAV-Utilities sind
  428.      kompatibel mit Netzwerken, Windows, DR-DOS, etc. 
  429.  
  430.  
  431. 1.1 Erstinstallation
  432.  
  433.      Sie können die TBAV-Utilities installieren, indem Sie die Installa-
  434.      tionsroutine verwenden (welche im folgenden beschrieben wird) oder
  435.      durch eine voll anwenderbezogene Installation (welche in den Kapi-
  436.      teln I - 3 und II erklärt ist).
  437.  
  438.      Legen Sie die TBAV-Installationsdiskette in das Disketten-Laufwerk.
  439.  
  440.      Geben Sie ein:
  441.                     A: or B:
  442.  
  443.      Geben Sie ein:
  444.                    install C:\TBAV <Enter>
  445.  
  446.  
  447.           +---------------------------------------+
  448.           |    F1  Erst-Installation              |
  449.           |    F2  Update-Installation            |
  450.           |    F3  Über....                       |
  451.           |    F4  Exit....                       |
  452.           +---------------------------------------+
  453.  
  454.      Sollten Sie das TBAV-Paket zum ersten mal installiern, wählen Sie die
  455.      erste Option, indem Sie <Enter> oder <F1> drücken.
  456.  
  457.  
  458.     - [Bitte wählen Sie das Laufwerk, in das TBAV installiert werden soll:]-
  459.     Sie benötigen mind. 1024 KB freien Speicher, um TBAV zu installieren !
  460.  
  461.                C:     3581952 
  462.                D:    21291008
  463.  
  464.  
  465.      Wechseln Sie auf das Laufwerk, auf das die TBAV-Utilities installiert
  466.      werden sollen. Die TBAV-Installation zeigt Ihnen den freien Speicher-
  467.      platz jedes verfügbaren Laufwerks an.
  468.  
  469.  
  470.                                        I - 1
  471.  
  472.  
  473. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  474.  
  475.  
  476.      Als nächstes werden Sie aufgefordert, das Verzeichnis anzugeben, in
  477.      das TBAV installiert werden soll. Voreingestellt ist das Verzeichnis
  478.      \TBAV:
  479.  
  480.  
  481.      -----[ Bitte wählen Sie das Zielverzeichnis für TBAV: ]-----
  482.           [C:\TBAV                                         ] 
  483.  
  484.  
  485.      Existiert das angegebene Verzeichnis nicht, wird es vom Installations-
  486.      Program erstellt. Danach werden die TBAV-Dateien auf Ihre Festplatte
  487.      kopiert.
  488.  
  489.      +-----------------------------------------------------------+
  490.      | Die Dokumentation für TBAV ist komprimiert in einer Datei.|
  491.      |        Die Dokumentations-Datei wird jetzt entpackt.      |
  492.      |           Wenn bereit, beliebige Taste drücken....        |
  493.      |                                                           |
  494.      |                                                           |
  495.      |         Inflating: c:/tbav/TBSCAN.DOC    -AV              |
  496.      |         Inflating: c:/tbav/TBSCANX.DOC   -AV              |
  497.      |         Inflating: c:/tbav/TBCLEAN.DOC   -AV              |
  498.      +-----------------------------------------------------------+
  499.  
  500.      Die gepackten Dateien werden auf Ihre Festplatte kopiert und entpackt.
  501.      Nachdem alle Dateien kopiert wurden, startet TbSetup und erstellt die
  502.      Anti-Vir.Dat-Datei für das TBAV-Verzeichnis.
  503.  
  504.      +-----------------------------------------------------------+
  505.      | TbSetup erstellt oder aktualisert jetzt die Anti-Vir.Dat- |
  506.      |            Datei für das Verzeichnis C:\TBAV              |
  507.      |          Wenn bereit, beliebige Taste drücken....         |
  508.      +-----------------------------------------------------------+
  509.  
  510.      Die ThunderBYTE Anti-Viren-Utilities werden ins Zielverzeichnis kopiert.
  511.      Das Installations-Program hilft Ihnen, die Utilities auf standardiserte
  512.      Weise einzurichten. Nachdem Sie das Handbuch gründlich gelesen haben,
  513.      können Sie das Programm-Paket so konfigurieren, wie es Ihren persön-
  514.      lichen Erfordernissen und Vorstellungen am besten entspricht.
  515.  
  516.      +-----------------------------------------------------------+
  517.      | Dieses Installationsprogram hilft Ihnen, die Utilities in |
  518.      |           standardisierter Form einzurichten.             |
  519.      |               Wollen Sie fortfahren ? (Y/N)               |
  520.      +-----------------------------------------------------------+
  521.  
  522.      Falls Sie 'N' eingeben, fragt Sie das Installationsprogramm weder ob
  523.      die speicherresidenten TBAV-Utilities in die Autoexec.Bat aufgenommen
  524.      werden sollen, noch ob die die Anti-Vir.Dat-Dateien erzeugt werden
  525.      sollen. Falls Sie mit 'Y' antworten, wird zunächst ein Backup Ihrer
  526.      Original-Autoexec.Bat angelegt und der Aufruf der TbStart.Bat in die
  527.      Autoexec.Bat eingefügt. Um die TBAV-Utilities jederzeit problemlos
  528.      aufrufen zu können, ist es empfehlenswert, Sie in die Umgebungsvariable
  529.      PATH aufzunehmen. Ihre Autoexec.Bat sieht jetzt etwa so aus:
  530.  
  531.                                        I - 2
  532.  
  533.  
  534. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  535.  
  536.  
  537.           @ECHO OFF
  538.           PATH C:\TBAV
  539.  
  540.           call C:\TBAV\tbstart.bat
  541.  
  542.      Nachfolgend wird TbSetup das angegebene Laufwerk bearbeiten, um die
  543.      Anti-Vir.Dat-Dateien zu erzeugen. Gegebenenfalls müssen Sie diesen Vor-
  544.      gang für andere Laufwerke wiederholen. Schlagen Sie hierzu im entspre-
  545.      chenden Kapitel nach. 
  546.  
  547.  
  548.      Das TBAV-Paket enthält einige Utilities, die im Speicher Ihres PCs in-
  549.      stalliert werden können. Für jedes dieser Utilities müssen Sie einzeln
  550.      angeben, ob es in die TbStart.Bat eingefügt werden soll.
  551.  
  552.           TBSCANX ist ein speicherresidenter Viren-Scanner.
  553.                Wollen Sie ihn installieren ? (Y/N)
  554.  
  555.           TBCHECK ist ein speicherresidenter Integritätsprüfer.
  556.                Wollen Sie ihn installieren ? (Y/N)
  557.  
  558.           TBMEM ist ein residenter Speicherwächter.
  559.                Wollen Sie ihn installieren ? (Y/N)
  560.  
  561.           TBFILE ist ein residenter Dateiwächter.
  562.                Wollen Sie ihn installieren ? (Y/N)
  563.  
  564.  
  565.      Wenn Sie die nachfolgende Frage mit 'Y' beantworten, durchsucht TBAV
  566.      Ihr System automatisch einmal täglich nach Viren.
  567.  
  568.           Wollen Sie, daß Ihr System automatisch einmal pro Tag nach Viren
  569.                durchsucht wird ? (Y/N)
  570.  
  571.  
  572.      Das Installationsprogramm schreibt die angegebenen Konfigurationswerte
  573.      in die 'TbStart.Bat'-Datei, welche sich in dem Verzeichnis befindet,
  574.      welches Sie zuvor als Installationsverzeichnis für die TBAV-Utilities
  575.      angegeben haben, z.B.:
  576.  
  577.           C:\TBAV\tbdriver
  578.           C:\TBAV\tbscanx
  579.           C:\TBAV\tbcheck
  580.           C:\TBAV\tbmem
  581.           C:\TBAV\tbfile
  582.           C:\TBAV\tbscan once C:\
  583.  
  584.      Zuletzt können Sie die TBAV-Utilities anweisen, Ihre Festplatte sofort
  585.      zu scannen.
  586.  
  587.      Es ist sehr wahrscheinlich, daß einige der TBAV-Utilities Meldungen an-
  588.      zeigen werden, nachdem Sie Ihr System neu gestartet haben und Ihren
  589.      Computer in gewohnter Weise benutzen wollen. Einige Programme führen
  590.      Operationen aus, die von den TBAV-Utilities beobachtet werden. Daher
  591.      müssen die TBAV-Utilities erst 'lernen', welche Programme eine spe-
  592.  
  593.  
  594.                                        I - 3
  595.  
  596.  
  597. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  598.  
  599.  
  600.      zielle Erlaubnis erhalten sollen. Starten Sie einige Ihrer am häufig-
  601.      sten eingesetzten Programme und beantworten Sie jede entsprechende Mel-
  602.      dung mit 'Y' oder 'N' - je nachdem ob Sie das Programm zulassen wollen
  603.      oder nicht. TBAV wird sich dies merken und Sie nicht erneut mit einer
  604.      unnötigen Meldung nerven. Starten Sie Ihren Computer nach diesem Test-
  605.      lauf erneut.
  606.  
  607.      Die TBAV-Utilities sind jetzt bereit, Ihr System zu überwachen und bei
  608.      Auftreten verdächtiger Aktionen - oder Schlimmerem - sofort eine War-
  609.      nung auszugeben. Sie werden Sie auch warnen, falls irgendeine neue Da-
  610.      tei einen Virus enthalten sollte - natürlich bevor dieser Schaden an-
  611.      richten  kann. 
  612.  
  613.  
  614. 1.2 Windows
  615.  
  616.     Die Thunderbyte Anti-Viren-Utilities sind kompatibel zu Microsoft-
  617.     Windows. In jedem DOS-Fenster bleiben die Utilities aktiv, ohne dabei
  618.     die Ausführung in anderen Fenstern zu beeinflussen. Alle TBAV-Utilities
  619.     können ebenso aus einer graphischen Darstellung der DOS-Fenster von
  620.     Windows verwendet werden.
  621.  
  622.     Was Sie im TBAV-Paket nicht finden werden, sind der Mode folgende
  623.     Windows-Programme. Für diese Einschränkung gibt es mehrere Gründe.
  624.     Ein Windows-Scanner bietet niemals zusätzliche Funktionalität. Statt
  625.     dessen benötigt ein Windows-Scanner mehr Speicherplatz, ist größer
  626.     und langsamer und arbeitet weniger zuverlässig. Der einzige Vorteil
  627.     bestünde in einer hübscheren Bildschirmgestaltung. Sollte die Bild-
  628.     schirmgestaltung Ihr Hauptanliegen sein, ist TBAV kein Anti-Viren-
  629.     Programm für Sie!
  630.  
  631.     Sollte eine der Windows-Dateien infiziert sein, wird Windows mit großer
  632.     Wahrscheinlichkeit die Arbeit verweigern und den Computer abstürzen las-
  633.     sen. Gerade in diesem Fall benötigen Sie einen Scanner, um herauszufin-
  634.     den, was passiert ist, doch einen Windows-Scanner können Sie nun nicht
  635.     mehr benutzen.
  636.  
  637.     Um das Problem versteckter Viren zu meistern, müssen Sie vor dem Scan-
  638.     vorgang von einer virenfreien DOS-Diskette aus booten. Haben Sie schon
  639.     jemals Windows 3.1 von einer Diskette aus gebootet? TBAV bietet eine
  640.     durchdachte Windows-Unterstützung, aber keinen Unsinn.
  641.  
  642.  
  643.      TBAV-Menü und Befehlssyntax
  644.  
  645.      Sie können die meisten der TBAV-Utilities vom Menü aus starten, nach-
  646.      dem Sie dieses auf folgende Weise geladen haben:
  647.  
  648.           cd\tbav
  649.           tbav
  650.  
  651.      Um die Utilities automatisch ausführen zu lassen, müssen alle TBAV-
  652.      Treiber und Utilities vom DOS-Pprompt ausgeführt werden. In einem
  653.      systemnahen Setup sollten die Treiber jedoch in der Config.Sys mit
  654.      der 'device=' oder 'install='-Angabe installiert und aktiviert werden
  655.  
  656.                                        I - 4
  657.  
  658.  
  659. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  660.  
  661.  
  662.      oder als TSR-Programme in der TbStart.Bat. Ähnlich können auch die
  663.      meisten der Utilities automatisch von der TbSatrt.Bat aus gestartet
  664.      werden - im Fall von TbScan auf einmal pro Tag beschränkt. Die zwei
  665.      Ausnahmen bilden TbClean und TbDel. Sie sollten nur von der DOS-Ebene
  666.      und (TbClean) vom TBAV-Menü aus gestartet werden.
  667.  
  668.      Zu allen Thunderbyte Anti-Viren-Programmen können beim Programmaufruf in
  669.      der Befehlszeile Optionen und Parameter angegeben werden, um besondere
  670.      Fähigkeiten des betreffenden Programms zu steuern. Diese können ausge-
  671.      schrieben oder abgekürzt angegeben werden. Ausgeschrieben sind die Op-
  672.      tionen besser zu merken, weshalb sie bei den Beispielen in diesem Hand-
  673.      buch auch in der nicht-abgekürzten Form verwendet werden. Die einzelnen
  674.      Optionen müssen durch Leerstellen voneinander getrennt werden. Spezielle
  675.      Vorzeichen sind nicht erforderlich - wenn Sie wollen können Sie die je-
  676.      doch den normalen Schrägstrich oder den Bindestrich voranstellen.
  677.  
  678.      Die Standard-Befehlszeilen-Syntax für alle TBAV-Befehle ist:
  679.  
  680.           Befehl [<Pfad>] [<Dateiname>] [<Option>] ... [<Unter-Option>] ...
  681.  
  682.      Sie können sich für jeden Befehl einen Überblick über die korrekte Syn-
  683.      tax und eine komplette Optionen-Liste anzeigen lassen, indem Sie den
  684.      entsprechenden Befehl gefolgt von dem Wort 'help' oder einem Fragezei-
  685.      chen, wie z.B.:
  686.  
  687.           tbcheck ?
  688.  
  689.      Dieselbe Online-Hilfe wird immer ausgegeben, wenn ein Befehl mit einer
  690.      ungültigen Option aufgerufen wird.
  691.  
  692.      Die Beispiele in diesem Handbuch gehen grundsätzlich davon aus, daß
  693.      alle Utilities im Standardverzeichnis \TBAV installiert wurden.
  694.  
  695.  
  696.      Erstellen Sie eine Rettungsdiskette!
  697.  
  698.      Wir raten Ihnen dringend, eine Rettungsdiskette anzulegen. Die Beispiel-
  699.      Setups gehen davon aus, daß Sie eine solche Rettungsdiskette angelegt
  700.      haben (siehe Anleitung in Kapitel II).
  701.  
  702.  
  703.  
  704.  
  705.  
  706.  
  707.  
  708.  
  709.  
  710.  
  711.  
  712.  
  713.  
  714.  
  715.  
  716.  
  717.                                        I - 5
  718.  
  719.  
  720. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  721.  
  722.  
  723. 2. Konfiguration
  724.  
  725.      Die Wahl die Sie bei der Installation der TBAV-Utilities getroffen
  726.      haben, sollte möglicherweise etwas verfeinert werden - beispielsweise
  727.      durch Anfügen von Optionen an den Programm-Aufruf. Sie können dies
  728.      durch Editieren der Datei TBSTART.BAT erreichen, welche automatisch
  729.      die speicherresidenten Utilities lädt.
  730.  
  731. =>   Falls zulässig, können Sie die relevanten Befehle stattdessen in die
  732.      Config.Sys eintragen. Vergessen Sie dort aber nicht, die Dateinamens-
  733.      erweiterung .EXE anzugeben!
  734.  
  735.      Unten finden Sie einige Hinweise, wie Sie die Standardeinstellungen
  736.      Ihren eigenen Bedürfnissen gemäß verändern können. Wenn Sie Ihr System
  737.      hiernach erneut starten, benötigt TBAV Ihre Unterstützung in dieser
  738.      ersten 'Lern'-Phase.
  739.  
  740.  
  741.      TBAV Menü-Konfiguration
  742.  
  743.      Das TBAV-Menü gestattet ebenfalls einige Einstellungen.
  744.  
  745.      +----Main menu-----+
  746.      |  Confi+----------TBAV configuration----------+
  747.      |  TbSet|v Use colors                          |
  748.      |  TbSca|  Save configuration to TBAV.INI      |
  749.      |  TbUti|  File view utility                   |
  750.      |  TbCLe|v Wait after program execution        |
  751.      |  TBAV |  Display cmd line before executing   |
  752.      |  Docum|v Edit command line before executing  |
  753.      |  Quit +--------------------------------------+
  754.      |  eXit (no save)  |
  755.      +------------------+
  756.  
  757.      Sie können eine Option aktivieren, indem Sie den Cursorbalken auf die
  758.      entsprechende Zeile bewegen und Ihre wahl mit <Enter> bestätigen.
  759.  
  760.  
  761.      Use colors
  762.  
  763.      Wenn deaktiviert, verwendet TBAV den Monochrome-Modus für die Bild-
  764.      schirmanzeige, was für den Einsatz auf Laptops angemessen ist.
  765.  
  766.  
  767.      Save configuration to TBAV.INI
  768.  
  769.      Alle Konfiguration-Werte, die innerhalb des TBAV-Menüs gesetzt werden,
  770.      werden in der Datei TBAV.INI gespeichert, nachdem Sie diese Option ge-
  771.      wählt haben. Wenn Sie die TBAV-Utilities das nächstemal laden, gelten
  772.      die in der aktuellen TBAV.INI.Datei gespeicherten Werte. Sie werden
  773.      verwendet für das TBAV-Menü selbst und für die Utilities TbSetup, TbScan
  774.      und TbClean. Obwohl Sie die TBAV.INI-Datei manuell editieren können,
  775.      empfehlen wir Ihnen, diese über das TBAV-Menü erstellen zu lassen.
  776.      In der Voreinstellung ist der Inhalt der TBAV.INI nur gültig während
  777.  
  778.                                        I - 6
  779.  
  780.  
  781. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  782.  
  783.  
  784.      Sie das TBAV-Menüsystem verwenden. Sie können jedoch die Option "Use
  785.      TBAV.INI file" für jedes der oben genannten Utilities aktivieren (oder
  786.      durch Spezifizieren des 'UseIni'-Schalters in der TBAV.INI-Datei
  787.      selbst). In diesem Fall sind die in dieser Datei gespeicherten Ein-
  788.      stellungen für TbSetup, TbScan oder TbClean auch dann gültig, wenn sie
  789.      von der DOS-Befehlszeile aus gestartet werden. Gehen Sie mit dieser
  790.      Einstellung vorsichtig um, da Optionen die in der TBAV.INI aktiviert
  791.      sind, in der Befehlszeile nicht außer Kraft gesetzt werden können. TBAV
  792.      erzeugt die Datei TBAV.INI wenn Sie diese Option erstmals aktivieren.
  793.      In dieser Datei sind alle gültigen Schalter aufgelistet. Die deakti-
  794.      vierten Schalter werden von einem Semikolon angeführt.
  795.  
  796.  
  797.      File view utility
  798.  
  799.      TbSetup und TbScan erzeugen eine Datendatei bzw. eine Protokolldatei.
  800.      Standardmäßig können Sie diese Dateien vom TBAV-Menü aus mit dem inter-
  801.      nen Dateibetrachter ansehen. Wenn Sie diese Option wählen, können Sie
  802.      stattdessen Ihren bevorzugten Dateibetrachter angeben. Geben Sie hier
  803.      den vollständigen Pfad und den Dateinamen (inkl. Extension) an.
  804.  
  805.  
  806.      Wait after program execution
  807.  
  808.      Wird diese Option aktiviert, zeigt TBAV nachdem ein externes Utility
  809.      ausgeführt worden ist, die Meldung: "Mit beliebiger Taste zurück ins
  810.      TBAV-Menü".
  811.  
  812.  
  813.      Display command line before executing
  814.  
  815.      Durch Aktivieren dieser Option wird TBAV veranlaßt, den DOS-Befehl,
  816.      mit dem das externe Utility geladen wird, anzuzeigen. Diese Option
  817.      kommt dan zur Anwendung, wenn Sie sehen wollen, welche(n) Befehl(e)
  818.      Sie zuvor angegeben haben. Durch Betätigen der <Enter>-Taste wird der
  819.      bzw. die DOS-Befehl(e) ausgeführt.
  820.  
  821.  
  822.  
  823.      Edit command line before executing
  824.  
  825.      Wenn aktiviert, können Sie den DOS-Befehl, der das externe Utility
  826.      lädt, ändern.
  827.  
  828.  
  829.  
  830.  
  831.  
  832.  
  833.  
  834.  
  835.  
  836.  
  837.  
  838.  
  839.                                        I - 7
  840.  
  841.  
  842. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  843.  
  844.  
  845. 3. TbSetup
  846.  
  847.  
  848. 3.1. Der Zweck von TbSetup
  849.  
  850.      TbSetup ist ein Programm, das die wesentlichen Informationen jedes Pro-
  851.      gramms in Dateien mit der Bezeichnung Anti-Vir.Dat speichert. In jedem
  852.      Verzeichnis, in dem Programmdateien enthalten sind, kann es eine Anti-
  853.      Vir.Dat-Datei geben.
  854.  
  855.      Obwohl die Thunderbyte-Utilities ohne die Anti-Vir.Dat-Dateien sehr gut
  856.      arbeiten, raten wir Ihnen dringend, die Anti-Vir.Dat-Dateien von TbSetup
  857.      erstellen zu lassen. Die Anti-Vir.Dat-Dateien können für mehrere Aufgaben
  858.      verwendet werden:
  859.  
  860.      Integritätsprüfung. Findet TbScan eine Anti-Vir.Dat-Datei, so führt
  861.      das Programm während des Scanvorgangs eine Integritätsprüfung durch.
  862.      Sobald eine Datei von einem Virus befallen wurde, entspricht die
  863.      Information der Anti-Vir.Dat-Datei nicht mehr dem aktuellen Datei-
  864.      inhalt. Über diese Dateiveränderung informiert Sie TbScan.
  865.  
  866.      TbSetup erkennt die Dateien, die eine besondere Behandlung benö-
  867.      tigen. Dazu zählt z. B. eine Abbilddatei einer Netzwerkbootdiskette.
  868.      Eine solche Datei, die das "Abbild" einer kompletten Diskette dar-
  869.      stellt, sollte vollständig und auf alle Viren gescannt werden.
  870.      TbSetup fügt in die Anti-Vir.Dat-Datei eine Markierung ein, um
  871.      sicherzustellen, daß TbScan die gesamte Datei auf alle Viren prüft.
  872.      Über weitere Dateien, die ebenfalls eine besondere Behandlung benö-
  873.      tigen, können Sie sich in einem späteren Kapitel dieser Dokumenta-
  874.      tion informieren.
  875.  
  876.      Sobald eine Datei infiziert ist, kann TbClean die Originaldatei
  877.      wiederherstellen. Die Informationen der Anti-Vir.Dat-Datei sind
  878.      TbClean dabei äußerst hilfreich. Manche der infizierten Programme
  879.      können nur dann rekonstruiert werden, wenn in der Anti-Vir.Dat-Datei
  880.      Informationen über das entsprechende Programm vorliegen.
  881.  
  882.      TbCheck (ein kleines speicherresidentes Programm zur Integritäts-
  883.      prüfung) kann nur dann seine Funktion erfüllen, wenn die entsprechen-
  884.      den Anti-Vir.Dat-Dateien auf Ihrem Rechner angelegt wurden.
  885.  
  886.      Die speicherresidenten TBAV-Utilities benötigen die Anti-Vir.Dat-
  887.      Dateien, um die Zugriffsinformationen zu verwalten. Ohne diese Anti-
  888.      Vir.Dat-Dateien können Sie falsche Alarme nicht verhindern, es sei
  889.      denn, Sie setzen ganze Bestandteile der TBAV-Utilities außer Betrieb.
  890.  
  891.  
  892.  
  893. 3.2. Benutzung von TbSetup
  894.  
  895.      Dies ist das einzige Programm, auf das die Regel zutrifft: Je seltener
  896.      Sie es einsetzen, um so besser ist der Virenschutz. Sobald die Anti-
  897.      Vir.Dat-Dateien erstellt worden sind, sollten Sie TbSetup nur noch dann
  898.      starten, wenn Sie in Ihrem System Programmdateien verändert bzw. hinzu-
  899.      
  900.      
  901.                                        I - 8
  902.  
  903.  
  904. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  905.  
  906.  
  907.      gefügt haben. In diesem Fall sollten Sie TbSetup nur in dem Verzeichnis
  908.      starten, in dem sich die neuen bzw. veränderten Dateien befinden. Mit
  909.      der Option 'newonly' können Sie verhindern, daß bereits existierende
  910.      Informationen überschrieben werden.
  911.  
  912.      Die von TbSetup erstellten Anti-Vir.Dat-Dateien werden bei der normalen
  913.      Dateiauflistung nicht angezeigt. Diese Dateien können Sie nur mit Hilfe
  914.      spezieller Utilities sichtbar machen.
  915.  
  916.      Sie können TbSetup von der DOS-Befehlszeile oder vom TBAV-Menü
  917.      aus laden. Laufwerk und Pfad geben TbSetup an, wo es seinen Setup-
  918.      vorgang durchführen soll. Wollen Sie die Laufwerke C: und D: bear-
  919.      beiten, dann geben Sie ein:
  920.  
  921.           TbSetup C:\ D:\
  922.  
  923.      Wenn Sie anstelle der Dateinamen ein Laufwerk und/oder einen Pfad ange-
  924.      ben, wird der angegebene Pfad als übergeordneter Pfad verstanden. Alle
  925.      seine Unterverzeichnisse werden miteinbezogen. Wird dagegen ein Datei-
  926.      name angegeben, arbeitet das Programm nur im angegebenen Pfad und nicht
  927.      in den Unterverzeichnissen.
  928.  
  929.      Platzhalter (Wildcards) in Dateinamen sind erlaubt.
  930.  
  931.      Nachdem Sie TbSetup auf Ihrem gesamten System angewendet haben, benö-
  932.      tigen Sie das Programm erst dann wieder, wenn Sie Programmdateien
  933.      verändert oder neu installiert haben. In diesem Fall raten wir Ihnen
  934.      dringend, TbSetup nur in dem Verzeichnis zu starten, in dem sich die
  935.      veränderten bzw. neu installierten Dateien befinden.
  936.  
  937.      Beispiel:
  938.      Sie fügen im Verzeichnis C:\FOO eine neue Datei mit Namen TEST.EXE hinzu.
  939.  
  940.                 TbSetup C:\FOO\TEST.EXE
  941.  
  942.      Beispiel:
  943.      Sie installieren in einem neuen Verzeichnis C:\NEU ein neues Programm.
  944.  
  945.                 TbSetup C:\NEU
  946.  
  947.      TbScan teilt Ihnen mit, wenn Sie TbSetup noch einmal starten sollen: Das
  948.      Programm wird Ihnen entweder ein kleines 'c' (Hinweis auf eine neue
  949.      Datei) oder ein großes 'C' (Hinweis auf eine veränderte Datei) nach dem
  950.      jeweiligen Dateinamen anzeigen.
  951.  
  952.      Wenn Sie das Programm von der DOS-Ebene aus starten, können Sie eine
  953.      Reihe von Startoptionen verwenden. Diese Optionen finden Sie in Ab-
  954.      schnitt 3.3. dieses Kapitels.
  955.  
  956.  
  957.  
  958.  
  959.                                        I - 9
  960.  
  961.  
  962. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  963.  
  964.  
  965.      Das 'TbSetup'-Menü
  966.  
  967.  
  968.      +----Main menu-----+
  969.      |  Confi+------TbSetup menu------+
  970.      |  TbSet|  Start TbSetup         |
  971.      |  TbSca|  Files/Paths to setup  |
  972.      |  TbUti|  Options menu         >|
  973.      |  TbCLe|  Flags menu           >|
  974.      |  TBAV |  Data file path/name   |
  975.      |  Docum|  View data file        |
  976.      |  Quit +------------------------+
  977.      |  eXit (no save)  |
  978.      +------------------+
  979.  
  980.  
  981.      Data file path/name 
  982.  
  983.      Normalerweise sucht TbSetup in einer Datei mit dem Dateinamen
  984.      TbSetup.Dat nach Angaben zu "besonderen" Dateien. Mit der Option
  985.      'datfile' können Sie einen Pfad- oder Dateinamen einer anderen Datei
  986.      angeben, die eine Liste aller "besonderen" Dateien enthält. Schreib-
  987.      weise der Option: Datfile [=<Dateiname>]
  988.  
  989.      Beispiel: 
  990.                TbSetup Datfile = c:\tbav\tbsetup.dat
  991.  
  992.  
  993.      +----Main menu-----+
  994.      |  Confi+------TbSetup menu------+
  995.      |  TbSet|  Start+-------TbSetup options-------+
  996.      |  TbSca|  Files|  Use TBAV.INI file          |
  997.      |  TbUti|  Optio|  Prompt for pause           |
  998.      |  TbCLe|  Flags|  Only new files             |
  999.      |  TBAV |  Data |  Remove Anti-Vir.Dat files  |
  1000.      |  Docum|  View |  Do not change anything     |
  1001.      |  Quit +-------|v Hide Anti-Vir.Dat files    |
  1002.      |  eXit (no save|  Make executables readonly  |
  1003.      +---------------|  Clear readonly attributes  |
  1004.                      |v Sub-Directory scan         |
  1005.                      +-----------------------------+
  1006.  
  1007.  
  1008.      Use TBAV.INI file
  1009.  
  1010.      Wenn Sie diese Option auswählen, ist die Konfiguration von TbSetup, so
  1011.      wie sie in der Datei TBAV.INI abgespeichert ist, auch bei Aufruf des
  1012.      Programms von der Befehlszeile aus, gültig. Geben Sie also acht, da
  1013.      die Optionen, die in der Datei TBAV.INI spezifiziert wurden, auf DOS-
  1014.      Ebene nicht außer Kraft gesetzt werden können. Siehe auch Kapitel I-2
  1015.      ('Konfiguration').
  1016.  
  1017.  
  1018.                                       I - 10
  1019.  
  1020.  
  1021. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1022.  
  1023.  
  1024.      Prompt for pause
  1025.  
  1026.      Mit der Option 'pause' hält TbSetup die Ausgabe in ein Fenster an, so-
  1027.      bald dieses voll ist. Der Anwender erhält dadurch die Gelegenheit, die
  1028.      Ergebnisse zu überprüfen, bevor durch Tastendruck die Arbeit fortgesetzt
  1029.      wird.
  1030.  
  1031.  
  1032.      Only new files 
  1033.  
  1034.      Wenn Sie dem Datenbestand der Anti-Vir.Dat neue Dateien hinzufügen,
  1035.      die Informationen von veränderten Dateien aber nicht aktualisieren wol-
  1036.      len, können Sie die Option 'newonly' benutzen. Es ist gefährlich, Infor-
  1037.      mationen veränderter Dateien zu aktualisieren, denn sollten diese be-
  1038.      reits infiziert sein, so werden bei dem Vorgang die Informationen, mit
  1039.      denen Sie den Virus aufspüren und beseitigen können, endgültig über-
  1040.      schrieben. Durch die Option 'newonly' können die bestehenden Informatio-
  1041.      nen nicht überschrieben, neue dem Datenbestand aber hinzugefügt werden.
  1042.  
  1043.  
  1044.      Remove Anti-Vir.Dat files 
  1045.  
  1046.      Wenn Sie nicht mehr länger mit den Thunderbyte-Utilities arbeiten wollen,
  1047.      müssen Sie nicht jede einzelne Anti-Vir.Dat-Datei löschen. Mit der Option
  1048.      'remove' löscht TbSetup zuverlässig alle Anti-Vir.Dat-Dateien in den an-
  1049.      gegebenen Verzeichnissen oder Laufwerken für Sie.
  1050.  
  1051.  
  1052.      Do not change anything 
  1053.  
  1054.      Wenn Sie ausprobieren wollen, was welche Option bewirkt, ohne das Risiko
  1055.      eingehen zu wollen, daß etwas verändert wird, dann hilft Ihnen die Option
  1056.      'test' weiter. Mit dieser Option läuft das Programm wie gewohnt ab, ver-
  1057.      ändert oder aktualisiert jedoch nichts auf Ihrer Festplatte.
  1058.  
  1059.  
  1060.      Hide Anti-Vir.Dat files 
  1061.  
  1062.      Gewöhnlich werden die Anti-Vir.Dat-Dateien nicht angezeigt. Deaktivieren
  1063.      Sie diese Option, wenn Sie normale Dateien, d.h. anzeigbare, bevorzugen.
  1064. =>   Diese Option wirkt sich nur auf neue Anti-Vir.Dat-Dateien aus.
  1065.  
  1066.  
  1067.      Make executables read-only 
  1068.  
  1069.      Da TbFile die Read-Only-Attribute ständig überwacht, ist es sehr zu
  1070.      empfehlen, alle ausführbaren Dateien mit diesem Attribut zu versehen.
  1071.      So schützen Sie Ihre Dateien vor allen Veränderungen. Mit 'read-only'
  1072.      setzt TbSetup das Read-Only-Attribut der bearbeiteten ausführbaren
  1073.      Dateien. Dabei erkennt TbSetup Dateien, die nicht mit dem Read-Only-
  1074.      Attribut versehen werden dürfen.
  1075.  
  1076.  
  1077.                                       I - 11
  1078.  
  1079.  
  1080. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1081.  
  1082.  
  1083.      Clear read-only attributes 
  1084.  
  1085.      Mit dieser Option können Sie die Auswirkungen der Option 'read-only'
  1086.      rückgängig machen. Aktivieren Sie diese Option, werden die Read-Only-
  1087.      Attribute aller ausführbaren Dateien entfernt.
  1088.  
  1089.  
  1090.      Sub-Directory scan 
  1091.  
  1092.      Normalerweise sucht TbSetup auch in Unterverzeichnissen nach ausführba-
  1093.      ren Dateien, außer es wird ein Dateiname (Platzhalter sind zulässig) an-
  1094.      gegeben. Deaktivieren Sie diese Option, werden Unterverzeichnisse von
  1095.      TbSetup nicht durchsucht.
  1096.  
  1097.  
  1098.      +----Main menu-----+
  1099.      |  Confi+------TbSetup menu------+
  1100.      |  TbSet|  Start+-----TbSetup flags------+
  1101.      |  TbSca|  Files|v Use normal flags      |
  1102.      |  TbUti|  Optio|  Set flags manually    |
  1103.      |  TbCLe|  Flags|  Reset flags manually  |
  1104.      |  TBAV |  Data |  Define flags         >|
  1105.      |  Docum|  View +------------------------+
  1106.      |  Quit +------------------------+
  1107.      |  eXit (no save)  |
  1108.      +------------------+
  1109.  
  1110.  
  1111.      Set flags manually 
  1112.  
  1113.      Diese Option ist nur für fortgeschrittenen Anwendern gedacht. Mit 'set'
  1114.      plazieren Sie nämlich Flags, also Markierungen für bestimmte Eigen-
  1115.      schaften, im Anti-Vir.Dat-Datenbestand von Hand. Diese Option erfordert
  1116.      hexadezimales, bitweises Rechnen, um die Flags richtig zu setzen. Um In-
  1117.      formationen über die verwendeten Bit-Masken zu erhalten, sehen Sie sich
  1118.      bitte die Datei TbSetup.Dat an.
  1119.  
  1120.      Schreibweise der Option:   Set = <Flags>
  1121.      
  1122.      Beispiel:                  Set = 0001
  1123.  
  1124.  
  1125.      Reset flags manually 
  1126.  
  1127.      Rufen Sie diese Option nur dann auf, wenn Sie zu den fortgeschrittenen
  1128.      Anwendern zählen. Mit 'reset' können Sie von Hand Flags entfernen oder
  1129.      verhindern, daß Flags im Anti-Vir.Dat-Datenbestand gesetzt werden können.
  1130.      Diese Option erfordert hexadezimales, bitweises Rechnen, um die Flags
  1131.      richtig zu setzen. Um Informationen über die verwendeten Bit-Masken zu
  1132.      erhalten, können Sie sich die Datei TbSetup.Dat anschauen.
  1133.      
  1134.      Schreibweise der Option:   Reset = <Flags>
  1135.      
  1136.      Beispiel:                  Reset = 0001
  1137.  
  1138.  
  1139.                                       I - 12
  1140.  
  1141.  
  1142. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1143.  
  1144.  
  1145.      +----Main menu-----+
  1146.      |  Confi+------TbSetup menu------+
  1147.      |  TbSet|  Start+-----TbSetup flags------+
  1148.      |  TbSca|  Files|v Use n+--Define flags to be changed--+
  1149.      |  TbUti|  Optio|  Set f|  0001: Heuristic analysis    |
  1150.      |  TbCLe|  Flags|  Reset|  0002: Checksum changes      |
  1151.      |  TBAV |  Data |  Defin|  0004: Disk image File       |
  1152.      |  Docum|  View +-------|  0008: Readonly sensitive    |
  1153.      |  Quit +---------------|  0010: TSR program           |
  1154.      |  eXit (no save)  |    |  0020: Direct disk access    |
  1155.      +------------------+    |  0040: Attribute modifier    |
  1156.                              |  8000: Interrupt rehook      |
  1157.                              +------------------------------+
  1158.  
  1159. 3.3. Startoptionen
  1160.  
  1161.      Beim Aufruf von TbSetup können Optionen angegeben werden. Diese können
  1162.      ausgeschrieben oder abgekürzt angegeben werden. Ausgeschrieben sind die
  1163.      Optionen besser zu merken, weshalb sie in diesem Handbuch auch in dieser
  1164.      Form verwendet werden.
  1165.  
  1166.      Option    Parameter   Abk.  Erklärung
  1167.      ------    ---------   ---- ---------------------------------------------
  1168.      help                  he   Hilfe (-? =Kurzhilfe)
  1169.      pause                 pa   Pausen einschalten
  1170.      mono                  mo   Farbverwendung abschalten
  1171.      nosub                 ns   Unterverzeichnisse übergehen
  1172.      newonly               no   Veränderte Datensätze nicht aktualisieren
  1173.      remove                rm   Anti-Vir.Dat-Dateien löschen
  1174.      test                  te   Keine Auswirkungen oder Veränderungen
  1175.      nohidden              nh   Neue Anti-Vir.Dat-Dateien sind sichtbar
  1176.      readonly              ro   Setzt ausführbaren Dateien Read-Only-Attribut
  1177.      nordonly              nr   Entfernt oder setzt kein Read-Only-Attribut
  1178.      set       =<Flags>    se   Setzt Flags
  1179.      reset     =<Flags>    re   Setzt Flags zurück bzw. setzt keine Flags
  1180.      datfile   [=<Datei>]  df   Zu verwendende Daten-Datei
  1181.  
  1182.  
  1183.      help (he)
  1184.      Mit Hilfe dieser Option veranlassen Sie TbSetup, den Inhalt der Datei
  1185.      TBSETUP.HLP anzuzeigen, sofern sich diese im gleichen Verzeichnis wie
  1186.      TbSetup befindet. Mit der Option '?' erhalten Sie eine Kurzhilfe in
  1187.      Listenform, wie oben aufgeführt.
  1188.  
  1189.  
  1190.                                       I - 13
  1191.  
  1192.  
  1193. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1194.  
  1195.  
  1196.      mono (mo)
  1197.      Mit dieser Option wird die Verwendung von Farben auf Ihrem Bildschirm
  1198.      unterlassen. Dadurch kann die Darstellung auf LCD-Bildschirmen oder farb-
  1199.      emulierenden schwarzweiß-Systemen verbessert werden.
  1200.  
  1201.      nosub (ns)
  1202.      Normalerweise sucht TbSetup auch in Unterverzeichnissen nach ausführba-
  1203.      ren Dateien, außer es wird ein Dateiname (Platzhalter sind zulässig) an-
  1204.      gegeben. Deaktivieren Sie diese Option, werden Unterverzeichnisse von
  1205.      TbSetup nicht durchsucht.
  1206.  
  1207.      newonly (no)
  1208.      Wenn Sie dem Datenbestand der Anti-Vir.Dat neue Dateien hinzufügen,
  1209.      die Informationen von veränderten Dateien aber nicht aktualisieren wol-
  1210.      len, können Sie die Option 'newonly' benutzen. Es ist gefährlich, Infor-
  1211.      mationen veränderter Dateien zu aktualisieren, denn sollten diese be-
  1212.      reits infiziert sein, so werden bei dem Vorgang die Informationen, mit
  1213.      denen Sie den Virus aufspüren und beseitigen können, endgültig über-
  1214.      schrieben. Durch die Option 'newonly' können die bestehenden Informatio-
  1215.      nen nicht überschrieben, neue dem Datenbestand aber hinzugefügt werden.
  1216.  
  1217.      remove (rm)
  1218.      Wenn Sie nicht länger mit den Thunderbyte-Utilities arbeiten wollen,
  1219.      müssen Sie nicht jede einzelne Anti-Vir.Dat-Datei löschen. Mit der Option
  1220.      'remove' löscht TbSetup zuverlässig alle Anti-Vir.Dat-Dateien in den an-
  1221.      gegebenen Verzeichnissen oder Laufwerken für Sie.
  1222.  
  1223.      test (te)
  1224.      Wenn Sie ausprobieren wollen, was welche Option bewirkt, ohne das Risiko
  1225.      eingehen zu wollen, daß etwas verändert wird, dann hilft Ihnen die Option
  1226.      'test' weiter. Mit dieser Option läuft das Programm wie gewohnt ab, ver-
  1227.      ändert oder aktualisiert jedoch nichts auf Ihrer Festplatte.
  1228.  
  1229.      nohidden (nh)
  1230.      Gewöhnlich werden die Anti-Vir.Dat-Dateien nicht angezeigt. Deaktivieren
  1231.      Sie diese Option, wenn Sie normale Dateien, d.h. anzeigbare, bevorzugen.
  1232. =>   Diese Option wirkt sich nur auf neue Anti-Vir.Dat-Dateien aus.
  1233.  
  1234.      readonly (ro)
  1235.      Da TbFile die Read-Only-Attribute ständig überwacht, ist es sehr zu
  1236.      empfehlen, alle ausführbaren Dateien mit diesem Attribut zu versehen.
  1237.      So schützen Sie Ihre Dateien vor allen Veränderungen. Mit 'read-only'
  1238.      setzt TbSetup das Read-Only-Attribut der bearbeiteten ausführbaren
  1239.      Dateien. Dabei erkennt TbSetup Dateien, die nicht mit dem Read-Only-
  1240.      Attribut versehen werden dürfen.
  1241.  
  1242.      nordonly (nr)
  1243.      Mit dieser Option können Sie die Auswirkungen der Option 'read-only'
  1244.      rückgängig machen. Aktivieren Sie diese Option, werden die Read-Only-
  1245.      Attribute aller ausführbaren Dateien entfernt.
  1246.  
  1247.      set (se)
  1248.      Diese Option ist nur für fortgeschrittene Anwendern gedacht. Mit 'set'
  1249.      plazieren Sie nämlich Flags, also Markierungen für bestimmte Eigen-
  1250.  
  1251.  
  1252.                                       I - 14
  1253.  
  1254.  
  1255. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1256.  
  1257.  
  1258.      schaften, im Anti-Vir.Dat-Datenbestand von Hand. Diese Option erfordert
  1259.      hexadezimales, bitweises Rechnen, um die Flags richtig zu setzen. Um In-
  1260.      formationen über die verwendeten Bit-Masken zu erhalten, sehen Sie sich
  1261.      bitte die Datei TbSetup.Dat an.
  1262.      Schreibweise der Option:   Set = <Flags>
  1263.      
  1264.      Beispiel:                  Set = 0001
  1265.  
  1266.      reset (re)
  1267.      Rufen Sie diese Option nur dann auf, wenn Sie zu den fortgeschrittenen
  1268.      Anwendern zählen. Mit 'reset' können Sie von Hand Flags entfernen oder
  1269.      verhindern, daß Flags im Anti-Vir.Dat-Datenbestand gesetzt werden können.
  1270.      Diese Option erfordert hexadezimales, bitweises Rechnen, um die Flags
  1271.      richtig zu setzen. Um Informationen über die verwendeten Bit-Masken zu
  1272.      erhalten, können Sie sich die Datei TbSetup.Dat anschauen.
  1273.      Schreibweise der Option:   Reset = <Flags>
  1274.      
  1275.      Beispiel:                  Reset = 0001
  1276.  
  1277.      datfile (df)
  1278.      Hinter der 'datfile'-Option können Sie den Namen der Datendatei, die
  1279.      verwendet werden soll, angeben.
  1280.  
  1281.  
  1282. 3.4. Programmablauf
  1283.  
  1284.      TbSetup unterteilt den Bildschirm in drei Fenster: ein Fenster für die
  1285.      Informationen, eines für den Scanvorgang und eines für den Status. Im
  1286.      obersten, dem Informations-Fenster, werden zunächst die Hinweise der
  1287.      Daten-Dateien angezeigt.
  1288.  
  1289.      Im linken unteren Fenster werden Sie auf gerade bearbeitete Dateien und
  1290.      dateispezifische Informationen aufmerksam gemacht.
  1291.  
  1292.      Beispiel:
  1293.      TEST.EXE   01234  12AB23CD  Added   *  0001
  1294.         |          |         |     |     |   |
  1295.         |          |         |     |     |   |
  1296.         |          |         |     |     |   Für Datei gesetzte 'Flags'
  1297.         |          |         |     |     Bedeutet 'spezielle' Datei
  1298.         |          |         |     Durchgeführte Aktion
  1299.         |          |         32-Bit CRC (Prüfsumme)
  1300.         |          Dateigröße (hexadezimal)
  1301.         Dateiname
  1302.  
  1303.      Keine Sorge! Sie müssen die angezeigten Informationen nicht unbedingt
  1304.      verstehen. Wahrscheinlich benötigen Sie die Informationen nie.
  1305.  
  1306.  
  1307.      Das Feld 'Durchgeführte Aktion' kann drei verschiedene Meldungen
  1308.      anzeigen:
  1309.  
  1310.      Added
  1311.      Bislang existierte kein Anti-Vir.Dat-Datensatz dieser Datei. Nun
  1312.      wurde er hinzugefügt.
  1313.  
  1314.  
  1315.                                       I - 15
  1316.  
  1317.  
  1318. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1319.  
  1320.  
  1321.      Changed
  1322.      Ein Anti-Vir.Dat-Datensatz der Datei existierte bereits, doch die
  1323.      Datei hat sich verändert. Die Anti-Vir.Dat-Information wurde
  1324.      aktualisiert.
  1325.  
  1326.      Updated
  1327.      Ein Anti-Vir.Dat-Datensatz der Datei existiert bereits. Sie hat sich
  1328.      nicht verändert. TbSetup hat jedoch einige der Zugriffsinformationen
  1329.      verändert. Ursache: ein Eintrag der TbSetup.Dat-Datei bzw. die 'Set'-
  1330.      oder 'Reset'-Angabe in der Befehlszeile.
  1331.  
  1332.      Sie können TbSetup durch Drücken von Strg-Pause (Ctrl-Break) abbrechen.
  1333.  
  1334.  
  1335.  
  1336.      Der Zweck der TbSetup.Dat-Datei
  1337.  
  1338.      Obwohl die Thunderbyte-Utilities mit nahezu jeder Datei korrekt arbei-
  1339.      ten, gibt es doch einige Dateien, die eine besondere Behandlung benöti-
  1340.      gen. Um solche Dateien zu erkennen, verwendet TbSetup die Datendatei
  1341.      TbSetup.Dat. Dabei setzt es besondere Markierungen in die Anti-Vir.Dat-
  1342.      Datei, mit deren Hilfe die anderen Thunderbyte-Utilities erkennen, wel-
  1343.      che Ausnahmen für eine solche 'Spezialdatei' gelten sollen.
  1344.  
  1345.      Beispiele solcher Dateien sind:
  1346.  
  1347.      In manchen Programmen wird die Konfigurationsinformation in den aus-
  1348.      führbaren Dateien (EXE, COM) abgelegt. Verändern Sie die Konfigu-
  1349.      ration eines solchen Programms, verändert sich damit auch der Inhalt
  1350.      der Programmdatei. Folglich stimmt die neue Prüfsumme mit der alten
  1351.      nicht mehr überein. Einige Thunderbyte-Utilities benötigen diese
  1352.      Prüfsumme aber, um die Integrität der Datei zu prüfen oder für die
  1353.      Virenbeseitigung. Deshalb ist es hilfreich, diese Utilities wissen
  1354.      zu lassen, daß sich die Prüfsumme erlaubterweise verändern kann.
  1355.  
  1356.      TbScan ist z. B. mit der 'heuristischen' Analyse in der Lage, bislang
  1357.      unbekannte Viren zu entdecken. Manchmal enthält eine Datei jedoch
  1358.      Zeichenfolgen, die einem Virus gleichen. In diesem Fall würde die
  1359.      heuristische Analyse einen falschen Alarm auslösen. Daher ist es von
  1360.      großer Hilfe, wenn TbScan erfährt, daß es bei einer solchen Datei
  1361.      keine heuristische Analyse durchführen darf.
  1362.  
  1363.      Die Read-Only-Attribute können von einigen Thunderbyte-Utilities
  1364.      überwacht werden, um zu verhindern, daß sie ohne Erlaubnis des
  1365.      Anwenders entfernt werden können. Es gibt jedoch einige Programme,
  1366.      die sich nicht mehr richtig verhalten, wenn ihr Read-Only-Attribut
  1367.      gesetzt wurde.
  1368.  
  1369.      Fast immer funktioniert das Standardverfahren beim Scannen mit TbScan
  1370.      ganz ausgezeichnet. Dennoch müssen manche Dateien einem besonderen
  1371.      Analyseverfahren unterzogen werden. Eine solche Datei ist die Novell
  1372.      NET$DOS.SYS-Datei, die trotz ihrer Dateinamenerweiterung kein Geräte-
  1373.      treiber ist, sondern ein Abbild der Netzwerk-Bootdiskette. Sie muß
  1374.      vollständig und auf ALLE Signaturen gescannt werden, einschließlich
  1375.      der Signaturen vom COM- und BOOT-Typ.
  1376.  
  1377.  
  1378.                                       I - 16
  1379.  
  1380.  
  1381. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1382.  
  1383.      Die speicherresidenten Überwachungs-Utilities des TBAV-Programmpa-
  1384.      kets entdecken alle Formen virenspezifischen Verhaltens. Einige der
  1385.      "normalen" Programme verhalten sich manchmal so, wie es für Viren
  1386.      typisch ist. Um zu verhindern, daß TBAV durch die Ausführung solcher
  1387.      Programme alarmiert wird, muß diesen Programmen ein solches Verhal-
  1388.      ten gestattet werden.
  1389.  
  1390.      Die Vorstellung, daß einige Dateien von der heuristischen Analyse aus-
  1391.      geschlossen werden, verursacht Ihnen vielleicht Unbehagen. Doch sollten
  1392.      Sie darüber nicht vergessen, daß diese Dateien dennoch auf die herkömm-
  1393.      liche Art der Signaturenprüfung und dergleichen gescannt werden. Außerdem
  1394.      müßte eine Datei den gleichen Namen, die gleiche Größe und exakt die
  1395.      gleiche 32-Bit-CRC-Prüfsumme besitzen, wie in der TbSetup.Dat-Datei an-
  1396.      gegeben, damit das Flag zum Deaktivieren der heuristischen Analyse
  1397.      fälschlicherweise in die Anti-Vir.Dat-Datei eingetragen wird. Das stellt
  1398.      aber noch immer kein Sicherheitsrisiko dar: Wenn eine Datei, die in der
  1399.      TbSetup.Dat-Datei aufgeführt ist, infiziert sein sollte, dann stimmt die
  1400.      32-Bit-CRC-Prüfsumme nicht mehr und TbSetup wird die Datei nicht mehr er-
  1401.      kennen und zulassen. Auch wenn ein Programm nachträglich infiziert wird,
  1402.      verändert sich die Datei, womit die Angaben in der Anti.Vir-Dat-Datei
  1403.      nicht mehr mit der Datei übereinstimmen. Damit wird sie automatisch
  1404.      wieder einer vollständigen heuristischen Analyse unterzogen.
  1405.  
  1406.  
  1407.  
  1408.                                       I - 17
  1409.  
  1410.  
  1411. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1412.  
  1413.  
  1414. 4. TbDriver
  1415.  
  1416. 4.1  Der Zweck von TbDriver
  1417.  
  1418.      TbDriver selbst bietet keinen Schutz vor Viren, muß jedoch geladen
  1419.      werden, damit die anderen speicherresidenten Thunderbyte Anti-Viren-
  1420.      Utilities wie TbScanX, TbCheck, TbMem, TbFile und TbDisk korrekt ar-
  1421.      beiten können. Es stellt einige Routinen zur Verfügung, die von allen
  1422.      anderen Utilities verwendet werden: am Bildschirm erscheinende Mel-
  1423.      dungsfenster, die Übersetzungseinheit für die Verwendung Ihrer Mutter-
  1424.      sprache, Netzwerkunterstützung usw.
  1425.  
  1426.  
  1427.      Benutzung von TbDriver
  1428.  
  1429.      TbDriver muß vor allen anderen speicherresidenten TBAV-Utilities
  1430.      geladen werden. Genauere Anweisungen für das Laden erhalten Sie auf
  1431.      den folgenden Seiten.
  1432.  
  1433.      Normalerweise ist es nicht notwendig, die Startoption 'net' von
  1434.      TbDriver zu verwenden.
  1435.  
  1436.      Wenn Sie TbDriver auf einem Computer installieren, der von einem
  1437.      Boot-ROM gebootet (gestartet) wird, müssen Sie die Meldungs-Datei
  1438.      mit dem Pfad- und Dateinamen angeben, unter dem die Datei gefunden
  1439.      werden kann, NACHDEM der Computer gebootet ist. Die Datei unter
  1440.      dem vorgegebenen Namen ist nach dem Booten nicht mehr zugänglich.
  1441.  
  1442.  
  1443. 4.2. Startoptionen
  1444.  
  1445.      In der Befehlszeile können beim Programmaufruf Optionen angegeben wer-
  1446.      den. Die Angabe eines Dateinamens wird als Name der Sprach-Datei ver-
  1447.      standen. Die ersten drei im folgenden erklärten Optionen sind jederzeit
  1448.      verfügbar, die anderen Optionen können nur beim ersten Aufruf angegeben
  1449.      werden, wenn TbDriver noch nicht speicherresident geladen ist.
  1450.  
  1451.      Option  Parameter   Abk. Erklärung
  1452.      ------  ---------   ---- ----------------------------
  1453.  
  1454.      help                ?    =Zeigt Hilfetext
  1455.      net                 n    =Aktiviert besondere LAN-Unterstützung
  1456.      remove              r    =Entfernt TbDisk aus dem Speicher
  1457.      mode   =<m|c>       m    =Gibt den Video-Modus an
  1458.  
  1459.      noavok =<Laufwerke> o    =Keine Meldung bei fehlenden Anti-Vir-Daten
  1460.      quiet               q    =Aktivitäten werden nicht angezeigt
  1461.      secure              s    =Verhindert die Änderungs-Erlaubnis
  1462.      notunnel            t    =Keine Suche nach 'tunneling'
  1463.  
  1464.  
  1465.  
  1466.                                       I - 18
  1467.  
  1468.  
  1469. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1470.  
  1471.  
  1472.      help (?)
  1473.      Wenn Sie diese Option wählen, zeigt Ihnen TbDriver die verfügbaren
  1474.      Startoptionen an, so wie oben aufgelistet.
  1475.  
  1476.      net (n)
  1477.      TbDriver arbeitet mit den meisten Netzwerken gut zusammen, deshalb ist
  1478.      die Option 'net' (abgekürzt mit "n") normalerweise nicht erforderlich.
  1479.      Die Option 'net' ist nur erforderlich, wenn ALLE folgenden Bedingungen
  1480.      erfüllt sind: Die Verbindung zu einem Novell-Netzwerk ist aufgebaut,
  1481.      und TbDriver.Exe wurde gestartet, bevor das Logon-Kommando benutz wurde,
  1482.      und keine gültigen Anti-Vir.Dat-Daten in dem Verzeichnis sind, wo sich
  1483.      das Programm NET?.COM befindet, oder das Programm NET?.COM umbenannt
  1484.      wurde.
  1485.  
  1486.      remove (r)
  1487.      Wurde TbDriver bereits speicherresident geladen, so kann es durch den
  1488.      Aufruf von TbDriver mit der Option remove (abgekürzt "r") wieder aus dem
  1489.      Speicher entfernt werden. Wurden andere ähnliche speicherresidente Pro-
  1490.      gramme nach TbDriver geladen, so könnte die Entfernung des Programms aus
  1491.      dem Speicher große Probleme verursachen. TbDriver erkennt dies und um-
  1492.      geht diese Probleme, indem es sich in diesem Fall nicht aus dem Speicher
  1493.      entfernt, sondern nur abschaltet.
  1494.  
  1495.      mode (m)
  1496.      Werden an einem Computer gleichzeitig zwei Video-Systeme dual verwendet,
  1497.      so verwendet TbDriver den Bildschirm, der aktiv war, als TbDriver auf-
  1498.      gerufen wurde. Ist dies nicht erwünscht, können Sie den Bildschirm
  1499.      angeben, der zu verwenden ist: 'mode=m' für monochrome, 'mode=c' für
  1500.      farbige Systeme.
  1501.  
  1502.      noavok (o)
  1503.      Die Option 'noavok' (abgekürzt "o") wird für die normale Verwendung
  1504.      NICHT empfohlen. Sie können mit ihr Programmen, für die keine Daten in
  1505.      der Datei Anti-Vir.Dat gespeichert sind, eine automatische Erlaubnis
  1506.      erteilen. Die Option 'noavok' erfordert einen Parameter, der angibt,
  1507.      für welche Laufwerke die Erlaubnis gelten soll. Beispiel: Wenn Sie
  1508.      keine Meldung von TbMem erhalten wollen, wenn ein TSR-Programm ohne
  1509.      entsprechende Angaben in der Datei Anti-Vir.Dat von Laufwerk g: oder
  1510.      h: aus gestartet werden soll, müssen Sie 'noavok=gh' als Startparame-
  1511.      ter von TbDriver angeben.
  1512.  
  1513.      quiet (q)
  1514.      Einige der speicherresidenten TBAV-Utilities zeigen ihre Aktivität am
  1515.      Bildschirm an. TbScanX läßt das Wort "*Scanning*" in der oberen linken
  1516.      Bildschirmecke aufleuchten, während es scannt. Sie können dies mit der
  1517.      Option 'quiet' (abgekürzt "q") verhindern. Diese Option von TbDriver
  1518.      kann nur verwendet werden, wenn TbDriver noch nicht resident geladen ist.
  1519.      
  1520.      secure (s)
  1521.      Einige der Thunderbyte-Utilities können in der Anti-Vir.Dat-Datei Erlaub-
  1522.      nisinformationen abspeichern. Wenn Sie die Veränderung dieser Informatio-
  1523.      nen verbieten wollen, können Sie die Option 'secure' (abgekürzt "s") ein-
  1524.      setzen. Diese Option hat keinen Einfluß auf bereits erteilte Erlaubnisse,
  1525.      so daß Sie sie nach der Installation aller Programme verwenden können.
  1526.  
  1527.  
  1528.                                       I - 19
  1529.  
  1530.  
  1531. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1532.  
  1533.  
  1534.      notunnel (t)
  1535.      TbDriver entdeckt normalerweise den Versuch von Viren zu tunneln. Das
  1536.      Tunneln ist eine von Viren verwendete Technik, um den Speicherplatz
  1537.      des DOS-System-Codes im Speicher zu entdecken und diese Adresse für di-
  1538.      rekte Kommunikation mit DOS zu gebrauchen. Damit wird die Überwachung
  1539.      aller speicherresidenten Antiviren-Programme umgangen. TbDriver ist in
  1540.      der Lage, Tunnel-Versuche festzustellen und vor ihnen zu warnen. Es
  1541.      gibt andere Antiviren-Programme, die sich der Tunnel-Technik bedienen,
  1542.      um speicherresidente Viren zu umgehen. Diese verursachen dabei dann
  1543.      einen falschen Alarm. Wenn Sie solche anderen Antiviren-Programme
  1544.      verwenden, können Sie mit der Option 'notunnel' (abgekürzt "t") die
  1545.      Überprüfung von Tunnelversuchen abschalten.
  1546.  
  1547.  
  1548. 4.3. Sprachunterstützung
  1549.  
  1550.     TbDriver verwendet für die am Bildschirm erscheinenden Meldungen
  1551.     normalerweise die in der Datei TBDRIVER.LNG gespeicherten Texte und
  1552.     sucht diese Datei in dem Verzeichnis, in dem sich auch die Programm-
  1553.     datei von TbDriver befindet.
  1554.  
  1555.     Wenn Sie die Texte in einer anderen Sprache angezeigt haben möchten,
  1556.     sollten Sie überprüfen, ob eine Sprachdatei für die gewünschte Sprache
  1557.     verfügbar ist. Ist die Datei vorhanden, können Sie sie mit ihrem voll-
  1558.     ständigen Pfad- und Dateinamen hinter dem Aufruf von TbDriver angeben.
  1559.  
  1560.     Sie können die verwendete Sprache auch einfach wechseln, indem Sie
  1561.     TbDriver noch einmal aufrufen, mit dem Namen der zu benutzenden Sprach-
  1562.     datei. Hierdurch wird kein zusätzlicher Speicherplatz benötigt.
  1563.  
  1564.  
  1565.  
  1566.  
  1567.  
  1568.  
  1569.  
  1570.  
  1571.                                       I - 20
  1572.  
  1573.  
  1574. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1575.  
  1576.  
  1577. 5. Systempflege
  1578.  
  1579.      Jedes System bedarf der Pflege, so auch die TBAV-Utilities. Da immer
  1580.      neue Viren auftauchen, muß die Signaturendatei von TbScan regelmäßig
  1581.      upgedated werden. Sie können die jeweils aktuellste Signaturendatei
  1582.      immer aus einer unserer Support-Mailboxen herunterladen.
  1583.  
  1584.      Sicherlich wollen Sie ab und an neue Programme und Updates auf Ihrem
  1585.      System installieren. Vergessen Sie dabei nicht, diese neuen Programme
  1586.      mit TbSetup aufzunehmen!
  1587.  
  1588.      Sobald Sie eine neue DOS-Version installieren, wird der Bootsektor ver-
  1589.      ändert. Verändern Sie die Konfiguration Ihrer Laufwerke, ändert sich die
  1590.      Partitionstabelle und/oder die CMOS-Einstellungen. In all diesen Fällen
  1591.      müssen Sie eine neue Rettungsdiskette anlegen.
  1592.  
  1593.  
  1594.      Updates
  1595.  
  1596.      Die Thunderbyte Anti-Viren-Utilities werden ständig aktualisiert. Diese
  1597.      Updates können Sie bei allen Thunderbyte-Support-Mailboxen erhalten.
  1598.      Aber auch bei vielen anderen Mailboxen können Sie die aktuellsten
  1599.      Versionen unserer Software beziehen.
  1600.  
  1601.      Die komplette Fassung trägt die Bezeichnung: TBAVxxx.ZIP. 'xxx' steht
  1602.      (als Platzhalter) für die dreistellige Versionsnummer der jeweiligen
  1603.      Thunderbyte Anti-Viren-Utilities.
  1604.  
  1605.      Um die hohe Zuverlässigkeit der Produkte zu gewährleisten, können Sie
  1606.      Beta-Versionen beziehen. Diese Versionen werden nur eingeschränkt ver-
  1607.      trieben, sind also nur bei den Thunderbyte-Support-Mailboxen in den
  1608.      Niederlanden und den USA zu erhalten. Sie enthalten nur die veränder-
  1609.      ten Dateien. Beta-Fassungen werden durch ein 'B' in ihrer Bezeichnung
  1610.      gekennzeichnet: TBAVBxxx.ZIP.
  1611.  
  1612.      Um die Übertragungskosten so gering wie möglich zu halten, wurden spe-
  1613.      zielle Upgrade-Archive eingerichtet, die die Dateien enthalten, die
  1614.      seit der letzten offiziellen Fassung verändert wurden. Sie sind durch
  1615.      das 'U' in ihrer Bezeichnung gekennzeichnet: TBAVUxxx.ZIP:
  1616.  
  1617.      Die speicherresidenten Thunderbyte Anti-Viren-Utilities gibt es auch in
  1618.      prozessoroptimierten Fassungen. Diese prozessoroptimierten Fassungen
  1619.      sind nur registrierten Anwendern zugänglich und befinden sich in Archi-
  1620.      ven, die ein 'X' in ihrem Dateinamen tragen: TBAVXxxx.ZIP.
  1621.  
  1622.  
  1623.      Vertrieb der Signaturendateien
  1624.  
  1625.      Die Signaturendatei (TBSCAN.SIG) wird jeden Monat aktualisiert. Sie
  1626.      wird über ein Archiv mit dem Namen TBSIG%##.ZIP (% = Jahr, ## = Nummer
  1627.      der Ausgabe) vertrieben. In den meisten Mailboxen befindet sich inner-
  1628.      halb von 48 Stunden, nachdem die Master-Kopie in der Thunderbyte-
  1629.      Support-Mailbox in den Niederlanden aktualisiert wurde, ebenfalls eine
  1630.      aktualisierte Version.
  1631.  
  1632.  
  1633.                                       I - 21
  1634.  
  1635.  
  1636. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1637.  
  1638.  
  1639.      Sprachunterstützung
  1640.  
  1641.      Die Thunderbyte Anti-Viren-Utilities unterstützen verschiedene Sprachen.
  1642.      Die Dateien, die die Sprachunuterstützung enthalten, werden in Archiven
  1643.      unter dem Namen TB<Name><Version>.ZIP vertrieben, wobei <Name> für den
  1644.      Ländercode  und <Version> für die TBAV-Versionsnummer steht. Eine Sprach-
  1645.      datei, die auf Holländisch die Version 5.00 unterstützt, trägt daher die
  1646.      Bezeichnung TBNL500.ZIP. Sie erhalten diese Sprachdateien in den meisten
  1647.      Thunderbyte-Support-Mailboxen.
  1648.  
  1649.  
  1650.  
  1651.  
  1652.  
  1653.  
  1654.  
  1655.  
  1656.  
  1657.  
  1658.  
  1659.  
  1660.  
  1661.  
  1662.  
  1663.  
  1664.  
  1665.  
  1666.  
  1667.  
  1668.  
  1669.  
  1670.  
  1671.  
  1672.  
  1673.  
  1674.  
  1675.  
  1676.  
  1677.  
  1678.  
  1679.  
  1680.  
  1681.  
  1682.  
  1683.  
  1684.  
  1685.  
  1686.  
  1687.  
  1688.  
  1689.  
  1690.  
  1691.  
  1692.  
  1693.  
  1694.                                       I - 22
  1695.  
  1696.  
  1697. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1698.  
  1699.  
  1700. 6. Netzwerkpflege
  1701.  
  1702.      Die Signaturendatei TbScan.Sig sollte regelmäßig ersetzt werden. Dies
  1703.      kann viel Arbeit bedeuten, wenn Sie viele Arbeitsplätze eines Netzwerks
  1704.      einzeln aktualisieren. Glücklicherweise gibt es mehrere Möglichkeiten,
  1705.      diesen Arbeitsvorgang automatisch ausführen zu lassen.
  1706.  
  1707.  
  1708. 6.1  Verwenden von DOS REPLACE
  1709.  
  1710.      Richten Sie auf dem Server ein Verzeichnis mit dem Namen \TBAV_UPD\
  1711.      ein. Sollten Sie eine neue Fassung von TBAV oder der Signaturendatei
  1712.      TbScan.Sig erhalten, so kopieren Sie sie in dieses Verzeichnis.
  1713.  
  1714.      Sobald sich ein Arbeitsplatzcomputer im Netz anmeldet, sollte eine Batch-
  1715.      datei automatisch abgearbeitet werden. In den meisten Fällen ist dies so
  1716.      üblich. Diese Batchdatei sollte die folgenden Zeilen enthalten:
  1717.  
  1718.         REM  Neues Anti-Viren-Produkt installieren, wenn vorhanden.
  1719.         replace x:\tbav_upd\*.* c:\tbav /u /r
  1720.  
  1721.      'Replace' ist ein normaler DOS-Befehl. Er kopiert die Dateien, die
  1722.      durch den ersten Parameter gekennzeichnet werden, nur dann, wenn diese
  1723.      aktueller sind als die Dateien, die durch den zweiten Parameter angegeben
  1724.      werden.
  1725.  
  1726.      Vergewissern Sie sich, daß der Befehl 'replace' in der verwendeten Konfi-
  1727.      guration in einem Pfad gefunden werden kann, der in der Umgebungsvaria-
  1728.      blen PATH aufgeführt ist.
  1729.  
  1730.      In den meisten Fällen wird der Befehl 'replace' nichts bewirken, es sei
  1731.      denn, Sie aktualisieren Ihr x:\tbav_upd Verzeichnis. Bei dieser Vorge-
  1732.      hens weise müssen Sie lediglich ein Laufwerk mit der neuesten Signaturen-
  1733.      datei bzw. Anti-Viren-Software ausstatten, denn alle anderen Arbeits-
  1734.      platzcomputer führen das Update selbständig durch, sobald sie sich im
  1735.      Netz anmelden!
  1736.  
  1737.      Wollen Sie mit Hilfe des REPLACE-Programms alle Verzeichnisse der
  1738.      Arbeitsplatzcomputer auf zu aktualisierende Dateien durchsuchen lassen,
  1739.      können Sie die Option /S hinzufügen.
  1740.  
  1741.      Beachten Sie:
  1742.      Vergessen Sie nicht, TbSetup für die neuen Utilities im Verzeichnis
  1743.      x:\tbav_upd zu starten. Dies stellt sicher, daß der Befehl REPLACE auch
  1744.      die neue Anti-Vir.Dat-Datei kopiert.
  1745.  
  1746.  
  1747. 6.2. Verwenden von PkUnZip.Exe
  1748.  
  1749.      Richten Sie auf dem Server ein Verzeichnis mit dem Namen \TBAV_UPD\ ein.
  1750.      Sollten Sie eine neue Fassung eines gepackten Archivs mit TBAV-Dateien
  1751.      erhalten, so kopieren Sie diese in das genannte Verzeichnis.
  1752.  
  1753.      Sobald sich ein Arbeitsplatzcomputer im Netz anmeldet, sollte eine Batch-
  1754.      datei automatisch abgearbeitet werden. In den meisten Fällen ist dies so
  1755.       
  1756.                                       I - 23
  1757.  
  1758.  
  1759. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL I
  1760.  
  1761.  
  1762.      üblich. Diese Batchdatei sollte die folgenden Zeilen enthalten:
  1763.  
  1764.         REM  Neues Anti-Viren-Produkt installieren, wenn vorhanden.
  1765.         PkUnZip -n -o x:\tbav_upd\TBAV???.ZIP c:\tbav
  1766.  
  1767. =>   Vergewissern Sie sich, daß der Befehl 'PkUnZip' in der verwendeten
  1768.      Konfiguration in einem Pfad gefunden werden kann, der in der Umge-
  1769.      bungsvariablen PATH aufgeführt ist.
  1770.  
  1771.      In den meisten Fällen wird der Befehl 'PkUnZip' nichts bewirken, es sei
  1772.      denn, Sie aktualisieren Ihr x:\tbav_upd Verzeichnis. Bei dieser Vorge-
  1773.      hensweise müssen Sie lediglich ein Laufwerk mit der neuesten Signaturen-
  1774.      datei bzw. Anti-Viren-Software ausstatten, denn alle anderen Arbeits-
  1775.      platzcomputer führen das Update selbständig durch, sobald sie sich im
  1776.      Netz anmelden!
  1777.  
  1778.  
  1779.  
  1780.  
  1781.                                       I - 24
  1782.  
  1783.  
  1784. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL II
  1785.  
  1786.  
  1787. KAPITEL II. ANTI-VIREN-STRATEGIEN
  1788.  
  1789. 1. Schutz gegen Viren
  1790.  
  1791. 1.1. Einführung
  1792.  
  1793.      Ein zuverlässiges Sicherheitssystem aufrecht zu erhalten setzt voraus,
  1794.      daß Sie Maßnahmen ergreifen, Ihr System vor einer Vireninfektion zu
  1795.      schützen, da sich einige Viren perfekt verstecken können, sind sie erst
  1796.      einmal im Speicher resident geworden. Mindestens einmal pro Woche soll-
  1797.      ten Sie Ihren Rechner von einer virenfreien und schreibgeschützten Boot-
  1798.      diskette starten und TbScan ausführen.
  1799.  
  1800.      Wie eng Ihr Sicherheitssystem ist, hängt im wesentlichen davon ab,
  1801.      wieviel Zeit Sie bereit sind für Sicherheitsmaßnahmen aufzuwenden und
  1802.      wie wichtig für Sie das entsprechende Computersystem ist. Für den Ein-
  1803.      satz auf einem Einzelplatz-Rechner mit weniger riskanten Daten, in ei-
  1804.      ner Umgebung, in der ein geringer Software-Austausch stattfindet, er-
  1805.      scheint ein tägliches Scannen ausreichend.
  1806.  
  1807.      Für gewerbliche Nutzer, in einem Netzwerk, wo Disketten häufig getauscht
  1808.      werden, wo Datenträger höchst "verwundbare" Informationen tragen, wo
  1809.      ein Netzwerkabsturz hohe finanzielle Verluste bedeutet, muß der Schutz
  1810.      so engmaschig wie nur irgend möglich sein.
  1811.  
  1812.      In Anbetracht dessen kann eine einfache Anleitung, wie die - höchst
  1813.      flexiblen - TBAV-Utilities eingesetzt werden sollen, nicht gegeben
  1814.      werden. Alles hängt von Ihren Ansprüchen und Möglichkeiten ab.
  1815.  
  1816.      Deshalb raten wir Ihnen, dieses Handbuch gründlich zu studieren, damit
  1817.      Sie in die Lage versetzt werden, Ihre eigenen Sicherheitsmaßnahmen zu
  1818.      treffen. Um Viren davon abzuhalten, irgendeinen Schaden anzurichten,
  1819.      sollten Sie zumindest die im folgenden aufgeführten Maßnahmen durch-
  1820.      führen.
  1821.  
  1822.  
  1823. 1.2. Grundsätzliche Vorkehrungen
  1824.  
  1825.      1. Installieren Sie TBAV auf Ihrer Festplatte
  1826.  
  1827.      Sie können die Installation verfeinern, damit Sie Ihre eigenen Erfor-
  1828.      dernissen entspricht. Vergewissern Sie sich, daß Sie TbSetup ausgeführt
  1829.      haben, damit Wiederherstellungs-Informationen für alle ausführbaren Da-
  1830.      teien Ihres Systems existieren. Bitte ziehen Sie das Installationskapi-
  1831.      tel (I) dieses Handbuches zu Rate.
  1832.  
  1833.      In den folgenden Beispielen wird davon ausgegangen, daß alle Utilities
  1834.      in ein Verzeichnis mit dem Namen TBAV kopiert wurden. In allen Bei-
  1835.      spiel-Einstellungen wird vorausgesetzt, daß TbSetup ausgeführt wurde.
  1836.      Sollte Ihr Computer mit mehreren Festplatten oder Partitionen ausge-
  1837.      stattet sein, müssen Sie den Aufruf von TbSetup für jedes Laufwerk
  1838.      bzw. jede Partition wiederholen.
  1839.  
  1840.      In den Beispielen wird außerdem angenommen, daß Sie eine Rettungsdis-
  1841.      kette angelegt haben. 
  1842.  
  1843.                                       II - 1
  1844.  
  1845.  
  1846. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL II
  1847.  
  1848.  
  1849.      Die im folgenden dargestellten Installationsbeispiele sollen Ihnen ledig-
  1850.      lich als Anhalt für die Verwendung der TBAV-Utilities dienen. Diese Bei-
  1851.      spiele stellen keine vollständig optimierte Virenschutzvorrichtung dar.
  1852.  
  1853.  
  1854.      2. Erstellen einer Rettungsdiskette
  1855.  
  1856.      Eine Rettungsdiskette ist nötig, um irgendwelche Viren in der Zukunft
  1857.      beseitigen zu können. Ohne eine solche Rettungsdiskette werden Sie einen
  1858.      Virus niemals entfernen können. Nehmen Sie sich ein paar Minuten Zeit,
  1859.      um sich diese Diskette jetzt anzulegen!
  1860.  
  1861.      Verwenden Sie eine neue, leere Diskette und legen Sie sie in Laufwerk a:
  1862.      ein. Wechseln Sie in Ihr DOS-Verzeichnis und führen Sie folgende Befehle
  1863.      aus:
  1864.  
  1865.         Format A:\ /S
  1866.         Copy SYS.COM A:
  1867.  
  1868.     Wechseln Sie nun in das TBAV-Verzeichnis:
  1869.  
  1870.         CD \TBAV
  1871.  
  1872.     Rufen Sie die Batchdatei MakeResc auf:
  1873.  
  1874.         MakeResc A:
  1875.  
  1876.  
  1877.      Die Batch-Datei MakeResc.Bat erstellt eine zuverlässige Rettungsdis-
  1878.      kette indem Sie folgende Dateien anlegt oder kopiert.
  1879.  
  1880.      -    Ein Backup des Bootsektors, der Partitionstabelle und der CMOS-
  1881.           konfiguration.
  1882.  
  1883.      -    Eine Config.Sys-Datei mit folgendem Inhalt:
  1884.  
  1885.           Files=20
  1886.           Buffers=20
  1887.           Device=TbDriver.Exe
  1888.           Device=TbCheck.Exe FullCRC
  1889.  
  1890.      -    Eine Autoexec.Bat-Datei mit folgendem Inhalt:
  1891.  
  1892.           @echo off
  1893.           echo off
  1894.           PATH=A:\
  1895.           TBAV
  1896.           Cls
  1897.           Echo Warnung!!!
  1898.           Echo Wenn Sie einen Virus vermuten, führen Sie NICHTS
  1899.           Echo von der Festplatte aus!
  1900.  
  1901.  
  1902.                                       II - 2
  1903.  
  1904.  
  1905. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL II
  1906.  
  1907.  
  1908.      -    Die folgenden Dateien:
  1909.  
  1910.           TBAV.EXE
  1911.           TBAV.LNG
  1912.           TBSCAN.EXE
  1913.           TBSCAN.LNG
  1914.           TBSCAN.SIG
  1915.           TBDRIVER.EXE
  1916.           TBDRIVER.LNG
  1917.           TBCHECK.EXE
  1918.           TBCLEAN.EX
  1919.           TBUTIL.EXE
  1920.           TBUTIL.LNG
  1921.  
  1922.      Kopieren Sie nun alle Programme, die Sie im Notfall verwenden möchten,
  1923.      auf diese Diskette. Einen kleiner Editor - um die Config.Sys und/oder
  1924.      die AutoExec.Bat verändern zu können - ist sehr zu empfehlen.
  1925.      Sollte Ihre Festplatte besondere Gerätetreiber für den Zugriff benötigen
  1926.      (beispielsweise bei Verwendung von Festplattenkomprimierern) kopieren Sie
  1927.      diese ebenfalls auf die Rettungsdiskette und tragen Sie sie in die
  1928.      Config.Sys-Datei des Laufwerks a: ein. Weitergehende Hinweise können Sie
  1929.      den entsprechenden Handbüchern entnehmen.
  1930.  
  1931.      Die Diskette ist so gut wie angelegt. MACHEN SIE DIE DISKETTE SCHREIB-
  1932.      GESCHÜTZT, indem Sie einen Schreibschutzaufkleber anbringen oder den
  1933.      Schreibschutzschieber benutzen. Versehen Sie die Diskette mit der Auf-
  1934.      schrift "Rettungsdiskette". Bewahren Sie die Diskette an einem sicheren
  1935.      Ort auf. Benutzen Sie sie nicht, bis Sie sie benötigen!
  1936.  
  1937.  
  1938.      3. Vermeidung illegaler Software
  1939.  
  1940.      Viele Firmen wollen verhindern, daß ihre Angestellten unerlaubt Software
  1941.      installieren oder einsetzen. Oder vielleicht wollen Sie Familienmit-
  1942.      glieder davon abhalten, Ihren Computer mit allen möglichen Spiele voll-
  1943.      zuladen. TBAV stellt eine Art "Wachhund"-Option zur Verfügung, die Ihnen
  1944.      hilft, dies zu durchzusetzen.
  1945.  
  1946.      Fügen Sie der Datei Config.Sys die folgenden Zeilen hinzu:
  1947.  
  1948.         Device=C:\TBAV\TbDriver.Exe
  1949.         Device=C:\TBAV\TbCheck.Exe secure
  1950.  
  1951.      Wenn Sie die TBAV-Utilities unter Verwendung des TBAV-Installationspro-
  1952.      gramms installiert, können Sie - anstatt die Datei CONFIG.SYS zu edi-
  1953.      tieren - die TBSTART.BAT-Datei anpassen, indem Sie die 'secure'-Option
  1954.      an den Aufruf von TbCheck anfügen.
  1955.  
  1956.           C:\TBAV\TbDriver
  1957.           C:\TBAV\TbCheck secure
  1958.  
  1959.      Führen Sie TbSetup auf Ihrem System aus:
  1960.  
  1961.           TbSetup C:\
  1962.  
  1963.  
  1964.                                       II - 3
  1965.  
  1966.  
  1967. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL II
  1968.  
  1969.  
  1970.      Starten Sie Ihren Computer erneut durch Drücken der Tastenkombination
  1971.      <Strg>-<Alt>-<Entf> (<Ctrl>-<Alt>-<Del>). Von jetzt an wird es TbCheck
  1972.      jeden Anwender unmöglich machen, irgendein Programm zu starten, das
  1973.      nicht bereits beim Aufruf von TbSetup zugelassen wurde. Wann immer je-
  1974.      mand ein unbekanntes Programm aufruft, wird TBAV folgende Meldung am
  1975.      Bildschirm anzeigen:
  1976.  
  1977.      +---- Unterbrechung durch TBAV --------+
  1978.      |                WARNUNG!              |
  1979.      | Das aufegrufene Programm (GAME.EXE)  |
  1980.      | ist nicht zugelassen und kann nicht  |
  1981.      | ausgeführt werden.                   |
  1982.      | Ausführung verhindert! Taste drücken.|
  1983.      +--------------------------------------+
  1984.  
  1985.  
  1986.      4. Schutz vor dem Personal
  1987.  
  1988.      Die meisten TBAV-Utilities sind interaktiv, erfordern eine Kommunikation
  1989.      mit dem Anwender. In manchen Firmen erscheint es sinnvoll, daß der Sy-
  1990.      stembetreuer als einziger mit TBAV kommuniziert, wenn etwas wichtiges
  1991.      passiert. Alle TBAV-Utilities unterstützen die Option 'secure'. Wird
  1992.      diese Option benutzt, wird der Anwender nicht mehr nach seiner Erlaub-
  1993.      nis gefragt, ob gefährliche Operationen durchgeführt werden dürfen: TBAV
  1994.      lehnt generell die Durchführung aller gefährlichen oder verdächtigen
  1995.      Operationen ab.
  1996.  
  1997.  
  1998.      5. Benutzen Sie zum Booten niemals 'fremde ' Disketten
  1999.  
  2000.      Booten Sie nur von Ihrer Festplatte oder Original-DOS-Diskette aus.
  2001.      Benutzen Sie für den Bootvorgang NIEMALS eine Diskette von jemand
  2002.      anderem! Nehmen Sie Disketten aus dem Laufwerk a:, bevor Sie Ihren
  2003.      Computer anschalten oder mit einem Reset erneut booten, sofern Sie
  2004.      eine Festplatte benutzen.
  2005.  
  2006.  
  2007.      6. Benutzen Sie öfters ChkDsk 
  2008.  
  2009.      Benutzen Sie regelmäßig das DOS-Programm ChkDsk (ohne die Option /F).
  2010.      Auch mit ChkDsk können Sie Viren entdecken, da einige von ihnen die
  2011.      Diskettenstruktur auf unzulässige Weise verändern und dadurch Disketten-
  2012.      fehler hervorrufen. Achten Sie auf Veränderungen im Verhalten Ihrer
  2013.      Software oder Ihres Computers. Jede Veränderung im Verhalten ist ver-
  2014.      dächtig, solange Sie den Grund dafür nicht kennen. Höchst verdächtige
  2015.      Anzeichen für Viren sind:
  2016.  
  2017.  
  2018.      -   Der verfügbare Speicherplatz hat sich verringert.
  2019.  
  2020.      -   Die Programme benötigen mehr Zeit, um ausgeführt zu werden.
  2021.  
  2022.  
  2023.                                       II - 4
  2024.  
  2025.  
  2026. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL II
  2027.  
  2028.  
  2029.  
  2030.      -   Die Programme arbeiten nicht wie gewohnt, oder verursachen nach
  2031.          einiger Zeit Abstürze oder das Neustarten des Computers.
  2032.  
  2033.      -   Daten verschwinden oder werden beschädigt.
  2034.  
  2035.      -   Die Größe eines oder mehrerer Programme hat zugenommen.
  2036.  
  2037.      -   Die Bildschirmanzeige verhält sich seltsam oder es werden unerwartete
  2038.          Informationen angezeigt.
  2039.  
  2040.      -   ChkDsk entdeckt viele Fehler.
  2041.  
  2042.  
  2043.  
  2044.  
  2045.  
  2046.  
  2047.  
  2048.  
  2049.  
  2050.  
  2051.  
  2052.  
  2053.  
  2054.  
  2055.  
  2056.  
  2057.  
  2058.  
  2059.  
  2060.  
  2061.  
  2062.  
  2063.  
  2064.  
  2065.  
  2066.  
  2067.  
  2068.  
  2069.  
  2070.  
  2071.  
  2072.  
  2073.  
  2074.  
  2075.  
  2076.  
  2077.  
  2078.  
  2079.  
  2080.  
  2081.  
  2082.  
  2083.  
  2084.                                       II - 5
  2085.  
  2086.  
  2087. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL II
  2088.  
  2089.  
  2090. 2. Was bei einem Virenbefall zu tun ist
  2091.  
  2092.  
  2093. 2.1. Aufspüren von Viren
  2094.  
  2095.      Das erste was Sie tun sollten, wenn Sie annehmen, Ihr System wäre von
  2096.      einem Virus befallen ist, sofort ein Backup aller wichtigen Dateien
  2097.      anzufertigen. Verwenden Sie nur neue Backup-Medien, und überschreiben
  2098.      Sie nie ein bereits existierendes Backup. Sie könnten dieses alte Back-
  2099.      up u.U. brauchen, um infizierte oder verlorengegangene Dateien zu er-
  2100.      setzen. Beschriften Sie das neue Backup mit "infiziert und unzuver-
  2101.      lässig".
  2102.  
  2103.     
  2104.      Wenn Sie annehmen, Ihr System wäre von einem Virus befallen, ist es
  2105.      absolut wichtig, daß Sie nur von einer virenfreien, schreibgeschützten
  2106.      Rettungsdiskette aus booten.
  2107.  
  2108.  
  2109.      Kennen der Symptome 
  2110.  
  2111.      Als nächstes starten Sie TbScan, um herauszufinden, was nicht in Ord-
  2112.      nung ist, oder booten Sie von einer Rettungsdiskette und vergleichen Sie
  2113.      die Systemdateien darauf mit jenen auf der Festplatte, um eventuelle
  2114.      Veränderungen zu erkennen. Während dieses Tests sollten Sie darauf
  2115.      achten, daß Sie auf Ihrer Systemdiskette bleiben, d.h. nur Dateien aus-
  2116.      führen, die sich auf dieser befinden.
  2117.  
  2118.      TbScan meldet den Namen des Virus, sofern er bekannt ist. Ist er unbe-
  2119.      kannt, werden die Dateiveränderungen angezeigt.
  2120.  
  2121.          TbScan C:\ logname=lpt1
  2122.  
  2123.      Starten Sie TbUtil, um den Bootsektor, den Partitions-Code und die CMOS-
  2124.      Einstellungen durch Vergleich zu überprüfen.
  2125.  
  2126.          TbUtil compare
  2127.  
  2128.      Starten Sie KEINESFALLS ein Programm von Ihrer Festplatte! Solange Sie
  2129.      Ihr System von Viren reinigen wollen, muß dem Virus der Zugriff auf
  2130.      Ihren Speicher verhindert werden. Sollten Sie versehentlich versuchen,
  2131.      ein infiziertes oder unerlaubtes Programm von Ihrer Festplatte aufzu-
  2132.      rufen, wird TbCheck Sie warnen.
  2133.  
  2134.      Bitte denken Sie daran, daß Dateiviren soviel Programme als möglich
  2135.      binnen kurzer Zeit infizieren wollen. Daher ist es äußerst unwahr-
  2136.      scheinlich, daß Sie auf einer Festplatte, mit der regelmäßig gearbeitet
  2137.      wird, nur wenige infizierte Programme finden. Meldet Ihnen TbScan, daß
  2138.      nur 1% der Dateien auf der Festplatte von Viren befallen ist, handelt es
  2139.      sich wahrscheinlich um einen falschen Alarm.
  2140.  
  2141.  
  2142.      Sollte der Dateien-Vergleich zeigen, daß alle Dateien unverändert sind,
  2143.      wissen Sie zumindest, daß Sie es nicht mit einem Dateivirus zu tun haben.
  2144.  
  2145.      Haben Sie einen Virus gefunden, benutzen Sie diese Kopie von TbScan 
  2146.  
  2147.                                       II - 6
  2148.  
  2149. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL II
  2150.  
  2151.  
  2152.      NICHT NOCHMALS, um andere Rechner zu durchsuchen, es sei denn, Sie hat-
  2153.      ten das Programm bereits auf eine schreibgeschützte Diskette kopiert,
  2154.      bevor Ihr Rechner von Viren befallen wurde. Obwohl TbScan bereits wäh-
  2155.      rend des Aufrufs einen Virenselbsttest durchführt, gibt es Viren, die in
  2156.      der Lage sind, eine Selbstkontrolle zu unterlaufen. Daher können selbst
  2157.      in TbScan Viren verborgen sein, ohne daß das Programm sie bemerkt. Die
  2158.      Unfähigkeit, Stealthviren (Tarnkappenviren) zu entdecken, ist ALLEN Pro-
  2159.      grammen gemein, die eine Selbstkontrolle durchführen. Deshalb raten wir
  2160.      Ihnen, eine virenfreie Version von TbScan auf einer schreibgeschützten
  2161.      Diskette aufzubewahren. Sollten Sie einen Virus auf Ihrem Rechner ent-
  2162.      deckt haben, sollten Sie andere Computer nur mit Hilfe dieser Diskette
  2163.      prüfen.
  2164.  
  2165.  
  2166.      Identifizierung der Charakteristika
  2167.  
  2168.      Identifizieren Sie den Virus. Sobald Sie wissen, um welchen Virus es
  2169.      sich handelt, wissen Sie, welchen Schaden er anrichtet, und ob die
  2170.      Daten-Dateien betroffen sind oder nicht.
  2171.      Zur Identifizierung des Virus können Sie einen Scanner verwenden. Sobald
  2172.      Sie seinen Namen ermittelt haben, sollten Sie sich Zusatzinformationen
  2173.      beschaffen. Melden Sie sich in unserer Support-Mailbox, schlagen Sie in
  2174.      entsprechender Literatur nach oder bitten Sie einen Virenexperten um
  2175.      Rat. Solange der Virus nur ausführbare Dateien befallen hat, brauchen
  2176.      Sie auch nur die ausführbaren Dateien zu ersetzen. Sollte der Virus aber
  2177.      jedesmal einige Bytes zufälliger Stellen Ihrer Festplatte vertauschen,
  2178.      wenn Sie ein Programm starten, müssen Sie auch Ihre Daten-Dateien er-
  2179.      setzen, selbst dann, wenn Sie in den Daten-Dateien keine Veränderungen
  2180.      feststellen können.
  2181.  
  2182.      Verfallen Sie nicht in Panik! Panik hilft Ihnen nicht, da Sie in Ruhe
  2183.      vorgehen müssen, um die Situation zu meistern. In der Vergangenheit
  2184.      wurde bei Vireninfektionen meist größerer Schaden durch die Anwender als
  2185.      durch die Viren selbst verursacht. Identifizieren Sie nur den Virus und
  2186.      beschaffen Sie sich Informationen über ihn. Das schlimmste, was Sie
  2187.      jetzt tun könnten, wäre die sofortige Neuformatierung Ihrer Fest-
  2188.      platte(n).
  2189.  
  2190.      Sobald Sie wissen, was der entdeckte Virus bewirkt, können Sie eine
  2191.      Strategie zu seiner Beseitigung entwickeln.
  2192.  
  2193.  
  2194. 2.2. Beseitigung von Viren
  2195.  
  2196.      Für die Beseitigung eines Virus ist es unerläßlich, von einer nicht in-
  2197.      fizierten, schreibgeschützten DOS-Diskette aus neu zu starten. Starten
  2198.      Sie AUF KEINEN FALL ein Programm, das sich auf Ihrer Festplatte befindet!
  2199.      Während der Virenbeseitigung muß dem Virus der Zugriff auf den Speicher
  2200.      unbedingt verweigert werden.
  2201.  
  2202.      Ersetzen Sie die DOS-Systemdateien und den Master-Bootsektor mit Hilfe
  2203.      des DOS-Befehls SYS von der Systemdiskette. Sollte der Bootsektor oder
  2204.      Partitionscode einen Virus enthalten, können Sie diesen mittels TbUtil
  2205.      wieder loswerden indem Sie den virenfreien Sektor wiederherstellen:
  2206.  
  2207.           TbUtil restore
  2208.  
  2209.                                       II - 7
  2210.  
  2211.  
  2212. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL II
  2213.  
  2214.  
  2215.      Viele moderne Festplatten, insbesondere IDE- oder AT-Bus-Platten werden
  2216.      durch besondere Verfahren vom Hersteller Low-Level-formatiert und brau-
  2217.      chen vom Anwender nur noch partitioniert und mit dem DOS-Befehl forma-
  2218.      tiert zu werden. Versuchen Sie nicht, eine solche Festplatte selbst
  2219.      einer Low-Level-Formatierung zu unterziehen. Es ist in jedem Fall bes-
  2220.      ser, mit einem Utility wie TbUtil ein Backup der Partitionstabelle anzu-
  2221.      fertigen und diese mit TbUtil auch wiederherzustellen - ohne Neufor-
  2222.      matierung.
  2223.  
  2224.      Handelt es sich um einen Dateivirus, müssen alle infizierten Dateien
  2225.      entfernt werden (unter Verwendung von TbDel) und die ausführbaren Da-
  2226.      teien von einer virenfreien Quelle kopiert oder reinstalliert werden.
  2227.  
  2228.      Ein Utility wie TbClean, das Viren beseitigt, kann den Original-Pro-
  2229.      grammcode nicht immer hundertprozentig wiederherstellen und sollte des-
  2230.      halb nur als letzter Rettungsanker verwendet werden, wenn Sie z.B. kein
  2231.      zuverlässiges Backup haben. Es könnte erforderlich sein, auch Datenda-
  2232.      teien zu ersetzen, sofern der Virus in der Lage war, auch in diesen Be-
  2233.      reichen Schaden anzurichten.
  2234.  
  2235.      Nachdem Sie sich versichert haben, daß Ihr System wieder absolut viren-
  2236.      frei ist, sollten Sie daran gehen, sorgfältig alle Disketten, Backups
  2237.      usw. überprüfen, um sämtliche Spuren des Virus zu beseitigen. Eine ein-
  2238.      zige infizierte Diskette kann Ihnen immer wieder denselben Ärger be-
  2239.      scheren.
  2240.  
  2241.  
  2242.  
  2243.  
  2244.  
  2245.  
  2246.  
  2247.  
  2248.  
  2249.  
  2250.  
  2251.  
  2252.  
  2253.  
  2254.  
  2255.  
  2256.  
  2257.  
  2258.  
  2259.  
  2260.  
  2261.  
  2262.  
  2263.  
  2264.  
  2265.  
  2266.  
  2267.  
  2268.  
  2269.  
  2270.                                       II - 8
  2271.  
  2272.  
  2273. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2274.  
  2275.  
  2276. KAPITEL III. VERWENDUNG DER TBAV-UTILITIES
  2277.  
  2278.  
  2279. 1. TbScan
  2280.  
  2281. 1.1. Der Zweck von TbScan
  2282.  
  2283.      TbScan ist ein Virenscanner, der speziell für das Entdecken von Viren,
  2284.      Trojanischen Pferden und anderen derartigen Angriffen auf Ihre wert-
  2285.      vollen Daten entwickelt wurde.
  2286.  
  2287.      Mit einem Virenscanner können Sie vorgegebene Virensignaturen aufspüren.
  2288.      Die meisten Viren enthalten eine eindeutige charakteristische Abfolge
  2289.      von Befehlen und damit Zeichen, die als Signatur bezeichnet werden. Die
  2290.      Suche nach solchen Signaturen in den Dateien ermöglicht daher eine Ent-
  2291.      scheidung, ob Ihr Programm infiziert ist oder nicht.
  2292.  
  2293.      Indem Sie sämtliche Programmdateien auf die Signaturen aller bislang be-
  2294.      kannten Viren prüfen, finden Sie schnell heraus, ob Ihr System infiziert
  2295.      ist, und wenn ja, von welchem Virus.
  2296.  
  2297.      Schnelles Scannen
  2298.  
  2299.      TbScan ist einer der schnellsten (im Moment der absolut schnellste)
  2300.      Virenscanner, die erhältlich sind. Dies lädt die Anwender geradezu ein,
  2301.      den Scanner jeden Morgen von der AUTOEXEC.BAT-Datei aus zu starten.
  2302.      TbScan wurde so entwickelt, daß die Geschwindigkeit auch bei größer-
  2303.      werdender Zahl von zu vergleichenden Virensignaturen nicht abnimmt. Es
  2304.      macht daher keinen Unterschied, ob Sie Ihre Programme auf 10 oder 1000
  2305.      Signaturen prüfen lassen.
  2306.  
  2307.      Wird TbScan gestartet, überprüft sich das Programm selbst. Sollte es
  2308.      dabei entdecken, daß es von Viren befallen ist, so wird das Programm an
  2309.      dieser Stelle mit einem Fehler abbrechen. Dieses Vorgehen verringert das
  2310.      Risiko, daß TbScan selbst einen Virus überträgt und das System infiziert.
  2311.  
  2312.      Heuristisches Scannen
  2313.      TbScan erkennt sogar ihm unbekannte Viren, da der eingebaute Dis-
  2314.      assembler verdächtige Instruktionssequenzen und einen ungewöhlichen
  2315.      Programmaufbau aufspüren kann. Dieser Vorgang wird 'heuristisches
  2316.      Scannen' genannt und wird für die meisten Dateien standardmäßig ein-
  2317.      gesetzt. Die heuristische Suche wird in Dateien und Bootsektoren aus-
  2318.      geführt, wodurch es TbScan möglich ist, dort neue und bisher unbe-
  2319.      kannte Viren zu entdecken.
  2320.  
  2321. =>   Beachten Sie: Ein Virenscanner verrät Ihnen lediglich, ob Ihr System
  2322.      von einem Virus befallen wurde, und wenn ja, ob bereits Schaden ent-
  2323.      standen ist. Zu diesem Zeitpunkt können nur noch nicht-infizierte
  2324.      Sicherheitskopien oder ein Wiederherstellungsprogramm wie TbClean die
  2325.      Vireninfektion vollständig ungeschehen machen. 
  2326.      Scan Scheduling
  2327.  
  2328.      Einen Virenscanner sollte jede/r PC-Benutzer/in regelmäßig einsetzen.
  2329.      Es ist das Mindeste, was Sie tun können, um Schäden durch Viren zu ver-
  2330.      meiden. In diesem Zusammenhang ist es sehr ratsam, eine spezielle
  2331.      TbScan-Bootdiskette zu erstellen.
  2332.  
  2333.                                       III - 1
  2334.  
  2335.  
  2336. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2337.  
  2338.  
  2339.      Folgende Verhaltensregeln sollten Sie beachten (gedacht als Vorrang-
  2340.      liste):
  2341.  
  2342.      Führen Sie TbScan einmal wöchentlich von einer schreibgeschützten,
  2343.      bootfähigen Diskette aus. Booten Sie von dieser Diskette bevor Sie
  2344.      den Scanner aufrufen. Das Booten von einer Diskette ist der einzige
  2345.      Weg um sicherzustellen, daß noch kein Stealth-Virus speicherresident
  2346.      geworden ist.
  2347.      Führen Sie einmal täglich einen Scan-Vorgang durch. Sie können TbScan
  2348.      mit der Option 'once' aus der AUTOEXEC.BAT-Datei heraus aufrufen, um den
  2349.      täglichen Scandurchlauf automatisch ausführen zu lassen. Für diese täg-
  2350.      liche Routine ist es nicht nötig, von der bootfähigen TbScan-Diskette
  2351.      aus zu booten.
  2352.  
  2353.      Scannen Sie neue Disketten.
  2354.  
  2355.  
  2356. 1.2. Benutzung von TbScan
  2357.  
  2358.      Für den Alltagsgebrauch können Sie TbScan von der DOS-Befehlszeile aus
  2359.      aufrufen (z.B. in der Autoexc.Bat) oder über das TBAV-Menü. Für den wö-
  2360.      chentlichen Gebrauch, wenn Sie von der TbScan-Diskette scannen, können
  2361.      Sie den DOS-Aufruf verwenden. Die entsprechenden Startoptionen, die
  2362.      Ihnen hierbei zur Verfügung stehen, sind in Abschnitt 1.3 diese Kapitels
  2363.      aufgeführt.
  2364.  
  2365.  
  2366.      Das 'TbScan'-Menü
  2367.  
  2368.      +----Main menu-----+
  2369.      |  Confi+------TbScan menu------+
  2370.      |  TbSet|  Start scanning       |
  2371.      |  TbSca|  Files/Paths to scan  |
  2372.      |  TbUti|  Options menu         |
  2373.      |  TbCLe|  Advanced options     |
  2374.      |  TBAV |  If virus found       |
  2375.      |  Docum|  Path configuration   |
  2376.      |  Quit |  Log file menu        |
  2377.      |  eXit |  View log file        |
  2378.      +-------+-----------------------+
  2379.  
  2380.  
  2381.      Files/path to scan
  2382.  
  2383.      Laufwerk und Pfad geben TbScan an, wo es den Scan-Vorgang durchführen
  2384.      soll. Um die Laufwerke C: und D: zu scannen, geben Sie ein:
  2385.  
  2386.           C:\ D:\
  2387.  
  2388.      Geben Sie keinen Dateinamen, sondern ein Laufwerk und/oder einen Pfad
  2389.      an, so wird der genannte Pfad als übergeordneter Pfad behandelt. Alle
  2390.      Unterverzeichnisse dieses Pfads werden ebenfalls gescannt. Wurde dage-
  2391.      gen ein Dateiname angegeben, wird nur im angegebenen Pfad gesucht. Un-
  2392.      terverzeichnisse werden nicht gescannt.
  2393.  
  2394.                                       III - 2
  2395.  
  2396.  
  2397. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2398.  
  2399.  
  2400.  
  2401.      Platzhalter in Dateinamen sind zulässig. Sie können sogar '*.*' angeben,
  2402.      wodurch alle Dateien gescannt würden.
  2403.  
  2404.  
  2405.      View log file
  2406.  
  2407.      Wurde eine der 'log file'-Optionen aktiviert (siehe unten), können Sie
  2408.      mit dieser Option die Protokolldatei (=Logfile) ansehen.
  2409.  
  2410.  
  2411.      Das 'TbScan options'-Menü
  2412.  
  2413.      +----Main menu-----+
  2414.      |  Confi+------TbScan menu------+
  2415.      |  TbSet|  Start+-----TbScan options------+
  2416.      |  TbSca|  Files|  Use TBAV.INI file      |
  2417.      |  TbUti|  Optio|  Prompt for pause       |
  2418.      |  TbCLe|  Advan|  Quick scan             |
  2419.      |  TBAV |  If vi|  Non-executable scan    |
  2420.      |  Docum|  Log f|  Maximum Compatibility  |
  2421.      |  Quit |  View |v Bootsector scan        |
  2422.      |  eXit +-------|v Memory scan            |
  2423.      +---------------|  HMA scan forced        |
  2424.                      |v Upper memory scan      |
  2425.                      |v Sub-Directory scan     |
  2426.                      |  Repeat scanning        |
  2427.                      |v Abort on Ctrl-Break    |
  2428.                      +-------------------------+
  2429.  
  2430.  
  2431.      Use TBAV.INI file
  2432.  
  2433.      Wenn Sie diese Option auswählen, ist die Konfiguration von TbSetup, so
  2434.      wie sie in der Datei TBAV.INI abgespeichert ist, auch bei Aufruf des
  2435.      Programms von der Befehlszeile aus, gültig. Geben Sie also acht, da
  2436.      die Optionen, die in der Datei TBAV.INI spezifiziert wurden, auf DOS-
  2437.      Ebene nicht außer Kraft gesetzt werden können. Siehe auch Kapitel I-2
  2438.      ('Konfiguration').
  2439.  
  2440.  
  2441.      Prompt for pause
  2442.  
  2443.      Wenn Sie die Option 'pause' aufrufen, wird TbScan innehalten, nachdem der
  2444.      Inhalt eines Fensters überprüft wurde. Dadurch erhalten Sie Gelegenheit,
  2445.      die Ergebnisse zu überprüfen, ohne die Protokolldatei anschauen zu müssen.
  2446.  
  2447.  
  2448.      Quick scan
  2449.  
  2450.      TbScan sucht anhand der Anti-Vir.Dat-Dateien nach Dateien, die sich
  2451.      seit dem letzten Scandurchlauf verändert haben. Nur Dateien, die sich
  2452.      verändert haben (CRC-Veränderung) oder die noch nicht in die Anti-
  2453.      Vir.Dat-Datei aufgenommen sind, werden gescannt.
  2454.  
  2455.                                       III - 3
  2456.  
  2457.  
  2458. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2459.  
  2460.  
  2461.      Non-executable scan 
  2462.  
  2463.      Diese Option veranlaßt TbScan auch zum Scannen der nicht-ausführbaren
  2464.      Dateien (Dateien ohne Erweiterung wie COM, EXE, SYS oder BIN). Sollte
  2465.      TbScan dabei herausfinden, daß eine solche Datei keine vom Prozessor
  2466.      ausführbaren Anweisungen enthält, wird sie übersprungen. Andernfalls
  2467.      wird sie auf COM-, EXE- und SYS-Signaturen geprüft. Jedoch wird TbScan
  2468.      diese Dateien keiner heuristischen Analyse unterziehen. Da Viren keine
  2469.      nicht-ausführbaren Dateien befallen, ist es nicht nötig, diese zu
  2470.      scannen. Wir empfehlen Ihnen daher, diese Option nicht anzuwenden, so-
  2471.      lange Sie keinen besonderen Grund haben, alle Dateien zu scannen.
  2472.  
  2473.      Nochmals: ein Virus muß ausgeführt werden, um das anzurichten, für
  2474.      das er hergestellt wurde. Da nicht-ausführbare Dateien nicht ausgeführt
  2475.      werden, kann ein Virus in einer solchen Datei auch keinen Schaden an-
  2476.      richten. Aus diesem Grund versuchen Viren nicht einmal, diese Dateien
  2477.      zu infizieren.
  2478.  
  2479.  
  2480.      Maximum compatibility 
  2481.  
  2482.      Wenn Sie diese Option aufrufen, versucht TbScan System-kompatibler zu
  2483.      arbeiten. Wenden Sie diese Option nur dann an, wenn das Programm nicht
  2484.      wie erwartet arbeitet oder sogar den Computer zum Stillstand bringt. Da
  2485.      diese Option die Scangeschwindigkeit vermindert, sollte Sie auch nur in
  2486.      solchen Fällen verwendet werden.
  2487. =>   Beachten Sie, daß diese Option an den Scan-Ergebnissen nichts ändert.
  2488.  
  2489.  
  2490.      Bootsector scan 
  2491.  
  2492.      Ist diese Option aktiviert, scannt TbScan den Bootsektor ebenfalls.
  2493.  
  2494.  
  2495.      Memory scan 
  2496.  
  2497.      Ist diese Option aktiviert, scannt TbScan auch den Speicher des PCs.
  2498.  
  2499.  
  2500.      HMA scan forced 
  2501.  
  2502.      TbScan erkennt das Vorhandensein eines XMS-Treibers und überprüft auto-
  2503.      matisch die HMA (den oberen Speicherbereich). Sollten Sie mit einem HMA-
  2504.      Treiber arbeiten, der nicht mit dem XMS-Standard kompatibel ist, können
  2505.      Sie mit dieser Option TbScan veranlassen, die HMA auf jeden Fall zu
  2506.      überprüfen.
  2507.  
  2508.  
  2509.      Upper memory scan 
  2510.  
  2511.      TbScan erkennt und prüft den RAM-Speicher auch jenseits der DOS-Grenzen.
  2512.      Das bedeutet, daß der Bildschirmspeicher und die aktuellen EMS-Seiten
  2513.  
  2514.                                       III - 4
  2515.  
  2516.  
  2517. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2518.  
  2519.  
  2520.      überprüft werden. Mit dieser Option aktivieren Sie die Überprüfung des
  2521.      Nicht-DOS-Speichers.
  2522.  
  2523.  
  2524.      Subdirectory scan 
  2525.  
  2526.      TbScan sucht normalerweise auch in den Unterverzeichnissen nach ausführ-
  2527.      baren Dateien, außer es wird ein Dateiname (Platzhalter sind gestattet)
  2528.      angegeben. Mit dieser Option können Sie das Durchsuchen der Unterver-
  2529.      zeichnisse verhindern.
  2530.  
  2531.  
  2532.      Repeat scanning
  2533.  
  2534.      Diese Option ist sehr nützlich, wenn Sie eine große Anzahl von Disketten
  2535.      scannen wollen. Nachdem eine Diskette überprüft worden ist, kehrt TbScan
  2536.      nicht einfach auf die DOS-Ebene zurück, sondern fordert Sie einfach auf,
  2537.      eine neue Diskette in das Laufwerk einzulegen.
  2538.  
  2539.  
  2540.  
  2541.      Das 'TbScan advanced options'-Menü
  2542.  
  2543.      +----Main menu-----+
  2544.      |  Confi+------TbScan menu------+
  2545.      |  TbSet|  Start+----TbScan advanced options----+
  2546.      |  TbSca|  Files|  Full heuristic scan          |
  2547.      |  TbUti|  Optio|  Extract signatures           |
  2548.      |  TbCLe|  Advan|v Auto heuristic level adjust  |
  2549.      |  TBAV |  If vi+-------------------------------+
  2550.      |  Docum|  Path configuration  >|
  2551.      |  Quit |  Log file menu       >|
  2552.      |  eXit |  View log file        |
  2553.      +-------+-----------------------+
  2554.  
  2555.  
  2556.      Full heuristic scan 
  2557.  
  2558.      TbScan unterzieht die zu überprüfenden Dateien immer einer heuristischen
  2559.      Analyse. Allerdings meldet TbScan erst dann eine Infektion, wenn die
  2560.      Datei sehr wahrscheinlich infiziert ist. Wenn Sie diese Option verwen-
  2561.      den, wird TbScan sozusagen 'sensibler'. Ohne daß für sie eine Signatur
  2562.      existiert, werden mit diesem Modus 90% aller neuen, unbekannten Viren
  2563.      entdeckt. Allerdings können auch einige Fehlalarme auftreten. Lesen
  2564.      Sie dazu das Kapitel 3.1. 'Die heuristische Suche'.
  2565.  
  2566.  
  2567.      Extract signatures 
  2568.  
  2569.      Diese Option steht nur registrierten Anwendern zu Verfügung. Schlagen
  2570.      Sie im Kapitel IV-5 nach, um zu erfahren, wie Sie die Option 'extract'
  2571.      anwenden können.
  2572.  
  2573.  
  2574.                                       III - 5
  2575.  
  2576.  
  2577. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2578.  
  2579.  
  2580.      Auto heuristic level adjust 
  2581.  
  2582.      TbScan wechselt automatisch zur heuristischen Analysestufe nachdem ein
  2583.      Virus gefunden wurde. Dies bedeutet maximale Such-Fähigkeiten wenn sie
  2584.      gebraucht werden, bei gleichzeitiger Verringerung der Fehlalarme, die
  2585.      in der 'Natur' der heursitischen Analyse begründet sind. Mit anderen
  2586.      Worten: Sobald ein Virus gefunden wurde, verhält sich TbScan so, als ob
  2587.      die Option 'heuristic' spezifiziert wurde.
  2588.  
  2589.  
  2590.      Das 'If virus found'-Menü
  2591.  
  2592.      In diesem Menü können Sie einstellen, wie sich TbScan verhalten soll,
  2593.      wenn es einen Virus entdeckt.
  2594.  
  2595.      +----Main menu-----+
  2596.      |  Confi+------TbScan menu------+
  2597.      |  TbSet|  Start+--What if a virus is found?--+
  2598.      |  TbSca|  Files|v Present action menu        |
  2599.      |  TbUti|  Optio|  Just continue (log only)   |
  2600.      |  TbCLe|  Advan|  Delete infected file       |
  2601.      |  TBAV |  If vi|  Rename infected file       |
  2602.      |  Docum|  Log f+-----------------------------+
  2603.      |  Quit |  View log file        |
  2604.      |  eXit +-----------------------+
  2605.      +------------------+
  2606.  
  2607.  
  2608.      Present action menu
  2609.  
  2610.      Wenn TbScan einen Virus entdeckt, öffnet sich ein Menü, das Ihnen meh-
  2611.      rere mögliche Maßnahmen zur Auswahl stellt: Fortfahren, Löschen oder
  2612.      Umbenennen der infizierten Datei.
  2613.  
  2614.  
  2615.      Just continue (log only) 
  2616.  
  2617.      Sobald TbScan einen Virus in einer Datei gefunden hat, wird der Anwender
  2618.      aufgefordert, die infizierte Datei zu löschen oder umzubenennen. Wenn
  2619.      Sie diese Option wählen, wird TbScan ohne diese Aufforderungen fort-
  2620.      fahren. In diesem Fall sollte unbedingt eine Protokoll-Datei (LOG-File)
  2621.      verwendet werden, da ein Scan-Durchlauf, dessen Ergebnisse nicht gelesen
  2622.      werden, wenig Sinn macht (siehe auch 'Startoptionen')
  2623.  
  2624.  
  2625.      Delete infected file 
  2626.  
  2627.      Sobald TbScan einen Virus in einer Datei gefunden hat, wird der Anwender
  2628.      aufgefordert, die infizierte Datei zu löschen oder umzubenennen bzw.
  2629.      ohne weitere Eingriffe fortzufahren. Haben Sie diese Option angegeben,
  2630.  
  2631.                                       III - 6
  2632.  
  2633.  
  2634. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2635.  
  2636.  
  2637.      wird TbScan Sie nicht länger fragen, was zu tun ist, sondern die infi-
  2638.      zierte Datei automatisch löschen. Benutzen Sie diese Option, wenn Sie
  2639.      sicher sind, daß Ihr Computer infiziert worden ist. Vergewissern Sie
  2640.      sich, daß Sie eine virenfreie Sicherheitskopie haben, und daß Sie alle
  2641.      infizierten Dateien auf einmal beseitigen wollen.
  2642.  
  2643.  
  2644.      Rename infected file 
  2645.  
  2646.      Sobald TbScan einen Dateivirus gefunden hat, wird der Anwender aufge-
  2647.      fordert, die infizierte Datei zu löschen oder umzubenennen bzw. ohne
  2648.      weitere Eingriffe fortzufahren. Wenn Sie die Option 'rename' angegeben
  2649.      haben, wird TbScan den Anwender nicht länger fragen, was zu tun ist,
  2650.      sondern die infizierte Datei selbständig umbenennen. Dabei wird das erste
  2651.      Zeichen der Dateinamenserweiterung normalerweise durch den Buchstaben 'V'
  2652.      ersetzt. Eine .EXE-Datei wird also in .VXE und eine .COM-Datei in .VOM
  2653.      umbenannt. Durch diese Umbenennung verhindern Sie, daß die infizierten
  2654.      Dateien ausgeführt werden können und damit die Infektion weiter um sich
  2655.      greifen kann. Gleichzeitig können die infizierten Dateien für eine
  2656.      spätere Überprüfung und Wiederherstellung aufbewahrt werden.
  2657.  
  2658.  
  2659.  
  2660.      Das 'TbScan LOG'-Menü
  2661.  
  2662.      +----Main menu-----+
  2663.      |  Confi+------TbScan menu------+
  2664.      |  TbSet|  Start+-------TbScan LOG menu-------+
  2665.      |  TbSca|  Files|  Output to log file         |
  2666.      |  TbUti|  Optio|  Log file path/name         |
  2667.      |  TbCLe|  Advan|  Specify log-level         >|
  2668.      |  TBAV |  If vi|  Append to existing log     |
  2669.      |  Docum|  Log f|  No heuristic descriptions  |
  2670.      |  Quit |  View +-----------------------------+
  2671.      |  eXit +-----------------------+
  2672.      +------------------+
  2673.  
  2674.  
  2675.      Output to logfile 
  2676.  
  2677.      Mit dieser Option veranlassen Sie TbScan, eine Protokolldatei anzulegen.
  2678.      In dieser Protokolldatei werden alle infizierten Programmdateien aufge-
  2679.      führt, die Ergebnisse der heuristischen Suche (siehe Anhang B) sowie die
  2680.      vollen Pfadnamen. 
  2681.  
  2682.  
  2683.      Log file path/name 
  2684.  
  2685.      Mit dieser Option können Sie den Namen der Protokolldatei angeben,
  2686.      die angelegt oder erweitert werden soll. Der vorgegebene Dateiname
  2687.      lautet TBSCAN.LOG und wird im aktuellen Verzeichnis erstellt. Um die
  2688.      Ergebnisse auszudrucken, können Sie anstelle eines Dateinamens einen
  2689.      Druckeranschluß angeben (logname=lpt1). 
  2690. =>   Beachten Sie: die Option ist mit der Option 'log' zu benutzen.
  2691.  
  2692.  
  2693.                                       III - 7
  2694.  
  2695.  
  2696. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2697.  
  2698.  
  2699.      Append to existing log 
  2700.  
  2701.      Durch diese Option überschreibt TbScan eine bestehende Protokolldatei
  2702.      nicht, sondern fügt die neuen Informationen an sie an. Sollten Sie mit
  2703.      dieser Option häufig arbeiten, dann empfehlen wir Ihnen, die Protokoll-
  2704.      datei hin und wieder zu löschen oder sie zu verkürzen, um deren unkon-
  2705.      trolliertes Anwachsen zu verhindern.
  2706. =>   Beachten Sie: die Option ist mit der Option 'log' zu benutzen.
  2707.  
  2708.      No heuristic descriptions 
  2709.  
  2710.      Wenn Sie diese Option benutzen, wird TbScan die ausführliche Beschrei-
  2711.      bung der heuristischen Meldungen in der Protokolldatei nicht mehr an-
  2712.      zeigen. Die Beschreibung der heuristischen Flags finden Sie in ANHANG B.
  2713.  
  2714.  
  2715.      Das 'LOG level'-Menü
  2716.  
  2717.      +----Main menu-----+
  2718.      |  Confi+------TbScan menu------+
  2719.      |  TbSet|  Start+-------TbScan LOG menu-------+
  2720.      |  TbSca|  Files|  Log f+--------Log-level menu--------+
  2721.      |  TbUti|  Optio|  Outpu|  0: Log only infected files  |
  2722.      |  TbCLe|  Advan|  Speci|v 1: Log summary too          |
  2723.      |  TBAV |  If vi|  Appen|  2: Log suspected too        |
  2724.      |  Docum|  Log f|  No he|  3: Log all warnings too     |
  2725.      |  Quit |  View +-------|  4: Log clean files too      |
  2726.      |  eXit +---------------+------------------------------+
  2727.      +------------------+
  2728.  
  2729.  
  2730.      Loglevel 
  2731.  
  2732.      Mit diesen Levels legen Sie fest, welche Dateien in die Protokollda-
  2733.      tei aufgenommen werden sollen. Vorgegeben ist Protokoll-Level 1. Sie
  2734.      können zwischen fünf Protokoll-Levels wählen:
  2735.  
  2736.      0   Nur infizierte Dateien werden protokolliert. Falls keine infi-
  2737.          zierten Dateien gefunden werden, soll die Protokolldatei weder
  2738.          angelegt noch die bestehende verändert werden.
  2739.  
  2740.      1   In die Protokolldatei wird eine Zusammenfassung und eine Zeitanga-
  2741.          be geschrieben. Nur infizierte Dateien sollen protokolliert werden.
  2742.  
  2743.      2   Das gleiche wie unter 1, zusätzlich werden auch 'verdächtige' Da-
  2744.          teien aufgenommen. Verdächtig sind Dateien, die den heuristischen
  2745.          Alarm auslösen, wenn die Option 'heuristic' benutzt worden ist.
  2746.  
  2747.      3   Das gleiche wie unter 2, aber alle Dateien, die mit einer Warnmel-
  2748.          dung angezeigt werden, werden auch aufgeführt. 
  2749.  
  2750.      4   Alle Dateien, die überprüft wurden, werden in der Protokolldatei
  2751.          aufgenommen.
  2752.  
  2753.                                       III - 8
  2754.  
  2755.  
  2756. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2757.  
  2758.  
  2759. 1.3. Startoptionen
  2760.  
  2761.      Wenn Sie TbScan von der DOS-Befehlszeile aus aufrufen, können Sie
  2762.      Optionen angeben. Diese können ausgeschrieben oder abgekürzt angegeben
  2763.      werden. Ausgeschrieben sind die Optionen leichter zu merken, weshalb
  2764.      sie in diesem Handbuch so verwendet werden. TbScan sucht in seinem
  2765.      Verzeichnis nach einer Datei namens TBAV.INI.
  2766.  
  2767.      Wurde im [TbScan]-Abschnitt der TBAV.INI-Datei das Schlüsselwort
  2768.      'UseIni' spezifiziert, sind diese Optionen auch wirksam, wenn Sie
  2769.      TbScan von der Befehlszeile aus aufrufen. Geben Sie also acht, da
  2770.      die Optionen, die in der Datei TBAV.INI spezifiziert wurden, auf
  2771.      DOS-Ebene nicht außer Kraft gesetzt werden können.
  2772.  
  2773.  
  2774.     Option    Parameter     Abk. Erklärung 
  2775.     ------    ---------     ---- --------------------------------------------
  2776.     help                    he = Hilfe
  2777.     pause                   pa = das 'Pause'-Prompt wird aktiviert
  2778.     mono                    mo = verwendet am Bildschirm Monochrommodus
  2779.     quick                   qs = Schnellscan (verwendet Anti-Vir.Dat)
  2780.     allfiles                af = Scannen auch nicht-ausführbarer Dateien
  2781.     heuristic               hr = aktiviert die heuristische Alarmbereitschaft
  2782.     extract                 ex = Signaturen erstellen (nur registr. Anwender)
  2783.     once                    oo = nur einmal täglich
  2784.     secure                  se = Abbruch durch Anwender nicht erlaubt
  2785.                                  (nur registrierte Anwender) 
  2786.     compat                  co = maximaler Kompatibilitäts-Modus
  2787.     ignofile                in = Fehlermeld. 'Keine Dateien gefunden'
  2788.                                  unterlassen
  2789.     noboot                  nb = Bootsektorprüfung übergehen
  2790.     nomem                   nm = Speicherprüfung übergehen
  2791.     hma                     hm = HMA-Prüfung erzwingen
  2792.     nohmem                  nh = UMB/HMA-Prüfung übergehen
  2793.     nosub                   ns = Unterverzeichnisse übergehen
  2794.     noautohr                na = keine Anpassung d. heuristischen
  2795.                                  Empfindlichk.
  2796.     repeat                  rp = mehrere Disketten überprüfen
  2797.     batch                   ba = Batch-Modus (keine Anwendereingabe nötig)
  2798.     delete                  de = infizierte Dateien werden gelöscht
  2799.     log                     lo = Ausgabe in Protokolldatei
  2800.     append                  ap = Ausgabe an Protokolldatei anhängen
  2801.     expertlog               el = keine heuristischen Beschreibungen in
  2802.                                  Protokolldatei aufnehmen
  2803.     logname   =<Dateiname>  ln = Pfad/Name der Protokolldatei
  2804.     loglevel  =<0..4>       ll = Protokoll-Level festlegen
  2805.     rename    [=<ext-mask>] rn = infizierte Dateien umbenennen
  2806.  
  2807.     help (he)
  2808.     Wenn Sie dies Option aufrufen, wird TbScan die oben aufgeführte Liste der
  2809.     Startoptionen anzeigen.
  2810.  
  2811.  
  2812.                                       III - 9
  2813.  
  2814.  
  2815. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2816.  
  2817.  
  2818.     Pause (pa)
  2819.     Wenn Sie die Option 'pause' aufrufen, wird TbScan innehalten, nachdem
  2820.     der Inhalt eines Fensters überprüft wurde. Dadurch können Sie die Ergeb-
  2821.     nisse zu überprüfen, ohne die Protokolldatei anschauen zu müssen.
  2822.  
  2823.     mono (mo)
  2824.     Mit dieser Option wird die Verwendung von Farben auf Ihrem Bildschirm
  2825.     unterlassen. Dadurch kann die Darstellung auf LCD-Bildschirmen oder farb-
  2826.     emulierenden Schwarzweiß-Systemen verbessert werden.
  2827.  
  2828.     quick (qs)
  2829.     Wenn Sie diese Option verwenden, wird TbScan mittels der Anti-Vir.Dat-
  2830.     Dateien nach Dateien suchen, die sich seit dem letzten Scandurchlauf ver-
  2831.     ändert haben. Dateien, die sich verändert haben (CRC-Veränderung) oder
  2832.     noch nicht in die Anti-Vir.Dat-Datei aufgenommen sind, werden gescannt.
  2833.  
  2834.     allfiles (af) 
  2835.     Diese Option veranlaßt TbScan auch zum Scannen der nicht-ausführbaren
  2836.     Dateien (Dateien ohne Erweiterung wie COM, EXE, SYS oder BIN). Sollte
  2837.     TbScan dabei herausfinden, daß eine solche Datei keine vom Prozessor aus-
  2838.     führbaren Anweisungen enthält, wird sie übersprungen. Andernfalls wird
  2839.     sie auf COM-, EXE- und SYS-Signaturen geprüft. Jedoch wird TbScan diese
  2840.     Dateien keiner heuristischen Analyse unterziehen.
  2841.  
  2842.     Da Viren keine nicht-ausführbaren Dateien befallen, ist es nicht nötig,
  2843.     diese zu scannen. Wir empfehlen Ihnen daher, diese Option nicht anzuwen-
  2844.     den, solange Sie keinen besonderen Grund haben, wirklich alle Dateien zu
  2845.     scannen. Nochmals: ein Virus muß ausgeführt werden, um das anzurichten,
  2846.     für das er hergestellt wurde. Da nicht-ausführbare Dateien nicht ausge-
  2847.     führt werden, kann ein Virus in einer solchen Datei auch keinen Schaden
  2848.     anrichten. Aus diesem Grund versuchen Viren nicht einmal, diese Dateien
  2849.     zu infizieren.
  2850.  
  2851.     heuristic (hr)
  2852.     Die zu überprüfenden Dateien werden von TbScan immer einer heuristischen
  2853.     Prüfung unterzogen. Allerdings meldet TbScan erst dann eine Infektion,
  2854.     wenn die Datei sehr wahrscheinlich infiziert ist. Wenn Sie die Option
  2855.     'heuristic' verwenden, wird TbScan sozusagen 'sensibler'. Ohne daß für
  2856.     sie eine Signatur existiert, werden mit diesem Modus 90% aller neuen,
  2857.     unbekannten Viren entdeckt. Allerdings können auch einige Fehlalarme
  2858.     auftreten. Lesen Sie dazu Abschnitt 3.1. 'Die heuristische Suche' in
  2859.     diesem Kapitel.
  2860.  
  2861.     extract (ex)
  2862.     Diese Option steht nur registrierten Anwendern zu Verfügung. Schlagen
  2863.     Sie in Kapitel 'TbGensig' (IV-5) nach, um zu erfahren, wie Sie die Op-
  2864.     tion 'extract' anwenden können.
  2865.  
  2866.     once (oo)
  2867.     Wenn Sie diese Option aufgerufen haben, 'merkt sich' TbScan nach dem
  2868.     Scanvorgang, daß es an diesem Tag bereits aufgerufen wurde, und daß es am
  2869.     selben Tag mit dieser Option nicht nochmals gestartet werden darf. Diese
  2870.  
  2871.  
  2872.  
  2873.                                      III - 10
  2874.  
  2875.  
  2876. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2877.  
  2878.  
  2879.     Option ist äußerst nützlich, wenn Sie sie in Verbindung mit einer Listen-
  2880.     datei in Ihre AUTOEXEC.BAT integrieren:
  2881.  
  2882.                 TbScan @Täglich.Lst once rename
  2883.  
  2884.     Nun wird TbScan alle Dateien und/oder Pfade, die in der Datei
  2885.     TÄGLICH.LST aufgeführt sind, während des ersten Bootvorgangs eines
  2886.     jeden Tages scannen.
  2887.  
  2888.     Sollte das System an diesem Tag noch öfter gebootet werden, wird
  2889.     sich TbScan sofort beenden. Die Option 'once' beeinträchtigt die normale
  2890.     Verwendung von TbScan keineswegs. Wenn Sie TbScan ohne die Option 'once'
  2891.     aufrufen, so wird das Programm immer arbeiten, und zwar unabhängig davon,
  2892.     ob Sie TbScan vorher bereits mit der Option 'once' gestartet hatten.
  2893.  
  2894.     Beachten Sie, daß TbScan 'once' unabhängig davon arbeitet, ob Sie an
  2895.     diesem Tag bereits einen normalen Scanvorgang durchgeführt haben.
  2896.  
  2897. =>  Sollte es TbScan nicht möglich sein, in die TBSCAN.EXE-Datei zu schrei-
  2898.     ben, weil sie mit dem 'read-only'-Attribut versehen wurde oder sie sich
  2899.     auf einer schreibgeschützten Diskette befindet, so funktioniert die
  2900.     'once'-Option nicht, und der Scanner wird arbeiten, ohne sie zu beachten.
  2901.  
  2902.     secure (se)
  2903.     Diese Option steht nur registrierten Anwendern zur Verfügung. Sobald Sie
  2904.     diese Option aufgerufen haben, kann TbScan nicht mehr durch Drücken von
  2905.     Strg-Pause (Ctrl-Break) abgebrochen werden. Es ist auch nicht möglich,
  2906.     auf die Fragen des Viren-Alarmfensters zu antworten.
  2907.  
  2908.     compat (co)
  2909.     Wenn Sie diese Option aufrufen, wird TbScan System-kompatibler arbeiten.
  2910.     Wenden Sie diese Option nur dann an, wenn das Programm nicht wie erwartet
  2911.     arbeitet oder sogar den Computer zum Stillstand bringt. Da diese Option
  2912.     die Scangeschwindigkeit vermindert, sollte Sie auch nur in solchen Fällen
  2913.     verwendet werden. An den Ergebnissen des Scannens ändert sich durch die
  2914.     Option 'compat' natürlich nichts.
  2915.  
  2916.     ignofile (in)
  2917.     Wurde diese Option verwendet und es kann keine Datei gefunden werden, so
  2918.     wird TbScan weder mit der Meldung 'keine ausführbaren Dateien gefunden'
  2919.     reagieren, noch mit dem Errorlevel 1 seine Arbeit beenden. Diese Option
  2920.     kann bei einer automatischen Inhaltsüberprüfung von Archiven nützlich
  2921.     sein. Sollte das Archiv keine ausführbaren Dateien enthalten, gibt
  2922.     TbScan dennoch keinen Errorlevel zurück.
  2923.  
  2924.     noboot (nb)
  2925.     Mit dieser Option scannt TbScan den Bootsektor nicht.
  2926.  
  2927.     nomem (nm)
  2928.     Wenn Sie diese Option verwenden, wird TbScan den Speicher Ihres Compu-
  2929.     ters nicht nach Viren durchsuchen.
  2930.  
  2931.     hma (hm)
  2932.     TbScan erkennt das Vorhandensein eines XMS-Treibers und überprüft auto-
  2933.     matisch die HMA (den oberen Speicherbereich). Sollten Sie mit einem
  2934.     HMA-Treiber arbeiten, der nicht mit dem XMS-Standard kompatibel ist,
  2935.  
  2936.                                      III - 11
  2937.  
  2938.  
  2939. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  2940.  
  2941.  
  2942.     dann können Sie durch die Option 'hma' TbScan veranlassen, die HMA auf
  2943.     jeden Fall zu überprüfen.
  2944.  
  2945.     nohmem (nh)
  2946.     TbScan erkennt und prüft entsprechend seinen Voreinstellungen den RAM-
  2947.     Speicher jenseits der DOS-Grenzen. Das bedeutet, daß der Bildschirm-
  2948.     speicher und die aktuellen EMS-Seiten normalerweise überprüft werden. Mit
  2949.     der Option 'nohmem' wird die voreingestellte Überprüfung des Nicht-DOS-
  2950.     Speichers abgeschaltet.
  2951.  
  2952.     nosub (ns)
  2953.     TbScan sucht normalerweise auch in den Unterverzeichnissen nach aus-
  2954.     führbaren Dateien, außer es wird ein Dateiname (Platzhalter sind zu-
  2955.     lässig) angegeben. Mit dieser Option können Sie das Durchsuchen der
  2956.     Unterverzeichnisse verhindern.
  2957.  
  2958.     noautohr (na)
  2959.     TbScan paßt die Empfindlichkeitsstufe der heuristischen Analyse auto-
  2960.     matisch an, sobald ein Virus gefunden wurde. Dies garantiert Ihnen
  2961.     maximale Suchleistung, wenn sie nötig ist, aber unter normalen Bedin-
  2962.     gungen möglichst wenige, durch die heuristische Analyse verursachte,
  2963.     Fehlalarme. Mit anderen Worten: sobald ein Virus entdeckt wurde, wird
  2964.     TbScan in der Annahme, daß noch weitere Dateien infiziert worden sind,
  2965.     so verfahren, als ob die Option 'heuristic' angegeben worden wäre. Wenn
  2966.     Sie das nicht wollen, müssen Sie die Option 'noautohr' benutzen.
  2967.  
  2968.     repeat (rp)
  2969.     Diese Option ist sehr nützlich, wenn Sie eine große Anzahl von Disketten
  2970.     scannen wollen. Nachdem eine Diskette überprüft worden ist, kehrt TbScan
  2971.     nicht einfach auf die DOS-Ebene zurück, sondern fordert Sie einfach auf,
  2972.     eine neue Diskette in das Laufwerk einzulegen.
  2973.  
  2974.     batch (ba)
  2975.     Wenn Sie diese Optio aktivieren sucht TbScan, ohne Meldungen am
  2976.     Bildschirm anzuzeigen. In diesem Fall sollte unbedingt eine
  2977.     Protokoll-Datei (LOG-File) verwendet werden.
  2978.  
  2979.     delete (de)
  2980.     Sobald TbScan einen Virus in einer Datei gefunden hat, wird der Anwender
  2981.     aufgefordert, die infizierte Datei zu löschen oder umzubenennen bzw. ohne
  2982.     weitere Eingriffe fortzufahren. Wenn Sie die Option 'delete' angegeben
  2983.     haben, wird TbScan Sie nicht länger fragen, was zu tun ist, sondern die
  2984.     infizierte Datei automatisch löschen. Benutzen Sie diese Option, wenn Sie
  2985.     sicher sind, daß Ihr Computer infiziert worden ist. Vergewissern Sie
  2986.     sich, daß Sie eine virenfreie Sicherheitskopie haben, und daß Sie alle
  2987.     infizierten Dateien auf einmal beseitigen wollen.
  2988.  
  2989.     log (lo)
  2990.     Mit dieser Option veranlassen Sie TbScan, eine Protokolldatei anzulegen.
  2991.     In dieser Protokolldatei werden alle infizierten Programmdateien aufge-
  2992.     führt, die Ergebnisse der heuristischen Suche in Großbuchstaben sowie die
  2993.     vollen Pfadnamen und - je nach 'loglevel' - die vollständige Meldung.
  2994.  
  2995.     append (ap)
  2996.     Durch diese Option überschreibt TbScan eine bestehende Protokolldatei
  2997.     nicht, sondern fügt die neuen Informationen an sie an. Sollten Sie mit
  2998.  
  2999.                                      III - 12
  3000.  
  3001. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3002.  
  3003.  
  3004.     dieser Option häufig arbeiten, dann empfehlen wir Ihnen, die Protokoll-
  3005.     datei hin und wieder zu löschen oder sie zu verkürzen, um deren unkon-
  3006.     trolliertes Anwachsen zu verhindern.
  3007. =>  Beachten Sie: die Option muß zusammen mit der Option 'log' benutzt
  3008.  
  3009.     expertlog (el)
  3010.     Wenn Sie diese Option benutzen, wird TbScan die ausführliche Beschreibung
  3011.     der heuristischen Meldungen in der Protokolldatei nicht mehr anzeigen.
  3012.     Die Beschreibung der heuristischen Flags finden Sie in ANHANG B.
  3013.  
  3014.     logname =<Dateiname> (ln)
  3015.     Mit der 'log'-Option können Sie den Namen der Protokolldatei angeben,
  3016.     die angelegt oder erweitert werden soll. Der vorgegebene Dateiname
  3017.     lautet TBSCAN.LOG und wird im aktuellen Verzeichnis erstellt.
  3018.     Um die Ergebnisse auszudrucken, können Sie anstelle eines Dateinamens
  3019.     einen Druckeranschluß angeben (logname=lpt1).
  3020. =>  Beachten Sie: die Option muß zusammen mit der Option 'log' benutzt werden.
  3021.  
  3022.     loglevel =0..4 (ll)
  3023.     Mit der Option 'loglevel' legen Sie fest, welche Dateien in die Proto-
  3024.     kolldatei aufgenommen werden sollen. Vorgegeben ist Protokoll-Level 1.
  3025.     Sie können zwischen fünf Protokoll-Levels wählen:
  3026.  
  3027.      0   Nur infizierte Dateien werden protokolliert. Falls keine infi-
  3028.          zierten Dateien gefunden werden, soll die Protokolldatei weder
  3029.          angelegt noch die bestehende verändert werden.
  3030.  
  3031.      1   In die Protokolldatei wird eine Zusammenfassung und eine Zeitanga-
  3032.          be geschrieben. Nur infizierte Dateien sollen protokolliert werden.
  3033.  
  3034.      2   Das gleiche wie unter 1, zusätzlich werden auch 'verdächtige' Da-
  3035.          teien aufgenommen. Verdächtig sind Dateien, die den heuristischen
  3036.          Alarm auslösen, wenn die Option 'heuristic' benutzt worden ist.
  3037.  
  3038.      3   Das gleiche wie unter 2, aber alle Dateien, die mit einer Warnmel-
  3039.          dung angezeigt werden, werden auch aufgeführt. 
  3040.  
  3041.      4   Alle Dateien, die überprüft wurden, werden in der Protokolldatei
  3042.          aufgenommen.
  3043.  
  3044. =>   Beachten Sie: die Option muß mit der Option 'log' kombiniert werden.
  3045.  
  3046.      rename [=<Ext-Maske>](re)
  3047.      Sobald TbScan einen Dateivirus gefunden hat, wird der Anwender aufge-
  3048.      fordert, die infizierte Datei zu löschen oder umzubenennen bzw. ohne
  3049.      weitere Eingriffe fortzufahren. Wenn Sie die Option 'rename' angegeben
  3050.      haben, wird TbScan den Anwender nicht länger fragen, was zu tun ist,
  3051.      sondern die infizierte Datei selbständig umbenennen. Dabei wird das erste
  3052.      Zeichen der Dateinamenserweiterung normalerweise durch den Buchstaben 'V'
  3053.      ersetzt. Eine .EXE-Datei wird also in .VXE und eine .COM-Datei in .VOM
  3054.      umbenannt. Durch diese Umbenennung verhindern Sie, daß die infizierten
  3055.      Dateien ausgeführt werden können und damit die Infektion weiter um sich
  3056.      greifen kann. Gleichzeitig können die infizierten Dateien für eine
  3057.      spätere Überprüfung und Wiederherstellung aufbewahrt werden.
  3058.  
  3059.      Sie können dieser Option auch einen Parameter hinzufügen, um die zu ver-
  3060.      gebende Dateinamenerweiterung selbst zu bestimmen. Dieser Parameter muß
  3061.  
  3062.                                      III - 13
  3063.  
  3064. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3065.  
  3066.  
  3067.      drei Buchstaben enthalten. Fragezeichen als Platzhalter sind zulässig.
  3068.      Die voreingestellte Dateinamenerweiterung ist 'V??'.
  3069.  
  3070.      Beispiele:
  3071.         TbScan c:\ noboot
  3072.    
  3073.      Alle ausführbaren Dateien im Hauptverzeichnis sowie seiner Unterver-
  3074.      zeichnisse werden überprüft. Die Bootsektorprüfung wird übergangen.
  3075.  
  3076.  
  3077.         TbScan \*.*
  3078.  
  3079.     Alle Dateien im Hauptverzeichnis werden überprüft, Unterverz. nicht.
  3080.  
  3081.           TbScan c:\ log logname=c:\test.log loglevel=2
  3082.  
  3083.      Es werden alle ausführbaren Dateien in Laufwerk C: überprüft. Eine
  3084.      Protokolldatei mit der Bezeichnung c:\test.log wird erstellt. Die Pro-
  3085.      tokolldatei wird alle infizierten und verdächtigen Dateien enthalten.
  3086.  
  3087.           TbScan \ log logname=lpt1
  3088.  
  3089.      TbScan wird das Hauptverzeichnis samt Unterverzeichnissen prüfen. Die
  3090.      Ergebnisse werden zum Drucker umgeleitet und nicht in die Protokoll-
  3091.      datei ausgegeben.
  3092.  
  3093.  
  3094. 1.4. Der Scan-Vorgang
  3095.  
  3096.      Wählen Sie 'Start scanning' im TbScan-Menü oder starten Sie TbScan
  3097.      von der DOS-Befehlszeile aus. Der Scan-Vorgang beginnt sofort.
  3098.  
  3099.      +-----------------------------------------------------------------+
  3100.      |Thunderbyte virus detector v6.07 - (C) 1989-93, Thunderbyte B.V. |
  3101.      |                                                                 |
  3102.      | TBAV wird alle zwei Monate aktualisiert. Alle registrierten An- |
  3103.      | wender erhalten kostenlosen Hotline-Support über Telefon, Fax u.|
  3104.      | Mailboard. Lesen Sie die umfassenden Dokumentationsdateien für  |
  3105.      | detailierte Informationen. BBS: +31- 85- 212 395                |
  3106.      | C:\DOS\                                                         |
  3107.      | ** Unregistered evaluation version. Don't forget to register! **|
  3108.      |                                                                 |
  3109.      | ANSI.SYS      scanning..>        OK    signatures:        986   |
  3110.      | COUNTRY.SYS   skipping..>        OK                             |
  3111.      | DISKCOPY.COM  tracing...>        OK    file system:       OWN   |
  3112.      | DISPLAY.SYS   scanning..>        OK                             |
  3113.      | DRIVER.SYS    scanning..>        OK    directories:        01   |
  3114.      | EGA.CPI       skipping..>        OK    total files:        17   |
  3115.      | FASTOPEN.EXE  looking...>        OK    executables:        12   |
  3116.      | FDISK.EXE     looking...>        OK    CRC verified:       10   |
  3117.      | FORMAT.COM    tracing...>   E    OK    changed files:      00   |
  3118.      | GRAFTABL.COM  tracing...>        OK    infected items:     00   |
  3119.      | GRAPHICS.COM  tracing...>        OK                             |
  3120.      | GRAPHICS.PRO  skipping..>        OK    elapsed time:    00:05   |
  3121.      |                                        Kb /second:        57    |
  3122.      |                                                                 |
  3123.      +-----------------------------------------------------------------+
  3124.                                      III - 14
  3125.  
  3126.  
  3127. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3128.  
  3129.  
  3130.     TbScan unterteilt den Bildschirm in drei Fenster: in ein Informations-
  3131.     Fenster, ein Scan-Fenster und ein Status-Fenster. Das oberste Fenster ist
  3132.     das Informations-Fenster, das Ihnen zu Beginn die Kommentare aus der ver-
  3133.     wendeten Daten-Datei zeigt.
  3134.  
  3135.  
  3136.     Während des Scannens
  3137.  
  3138.  
  3139.     Sollte TbScan infizierte Dateien finden, so werden Virus- und Dateiname
  3140.     im oberen Fenster angezeigt. Die Informationen werden angesammelt und
  3141.     aus dem Sichtbereich gerollt, wenn mehr Meldungen angezeigt werden, als
  3142.     in dem Fenster Platz haben.
  3143.  
  3144.     Das linke, untere Fenster zeigt die Namen der Dateien an, die gerade be-
  3145.     arbeitet werden, den angewandten Algorithmus sowie abgekürzt Informatio-
  3146.     nen und Ergebnisse der heuristischen Analyse. In der letzten Spalte die-
  3147.     ses Fensters wird ein OK oder der Name des entdeckten Virus angezeigt.
  3148.  
  3149.     Beispiel:
  3150.  
  3151.       TEST.EXE   <Scanning...>  FR        OK
  3152.          |          |           |         |
  3153.          |          |           |         Resultat des Scannens
  3154.          |          |           Ergebnis der heuristischen Analyse (Abk.)
  3155.          |          Verwendeter Scan-Algorithmus
  3156.          Name der untersuchten Datei
  3157.  
  3158.     Nach jedem Dateinamen werden Meldungen wie diese erscheinen: 'Looking',
  3159.     'Checking', 'Tracing', 'Scanning' oder 'Skipping'. Diese Meldungen be-
  3160.     ziehen sich auf die verschiedenen Algorithmen, mit denen die Dateien
  3161.     geprüft werden.
  3162.  
  3163.     Andere Meldungen, die TbScan hier anzeigen kann, sind die Ergebnisse der
  3164.     heuristischen Suche. Für weitere Informationen über diese abgekürzten
  3165.     Warnhinweise schlagen Sie bitte im Kapitel 1.3., 'Die heuristischen
  3166.     Flags' nach.
  3167.  
  3168.     Das rechte, untere Fenster ist das Status-Fenster. Hier werden Anzahl und
  3169.     Namen der abzuarbeitenden Dateien und die Anzahl der entdeckten Viren
  3170.     angezeigt. Auch das benutzte Dateisystem wird angezeigt: entweder 'DOS'
  3171.     oder 'OWN'. 'OWN' besagt, daß TbScan das Betriebssystem DOS umgeht, um
  3172.     alle Dateien mit direktem Zugriff zu lesen, um die Sicherheit und die
  3173.     Geschwindigkeit des Scannens zu erhöhen.
  3174.  
  3175.     Das Scannen kann mit Strg-Pause (Ctrl-Break) abgebrochen werden.
  3176.  
  3177.  
  3178.     Virenentdeckung
  3179.  
  3180.     Sobald ein infiziertes Programm entdeckt wurde, wird der Name des Virus
  3181.     angezeigt. Sollten Sie keine der Optionen 'batch', 'rename' oder 'delete'
  3182.     verwendet haben, so wird TbScan Sie fragen, ob die infizierte Datei umbe-
  3183.     nannt oder gelöscht werden soll oder ob einfach fortzufahren ist. Wenn
  3184.     Sie die Datei umbenennen, wird der erste Buchstabe der Dateinamenser-
  3185.     weiterung durch ein 'V' ersetzt. Mit dieser 'Umbenennung' verhindern Sie,
  3186.  
  3187.                                      III - 15
  3188.  
  3189.  
  3190. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3191.  
  3192.  
  3193.     daß die Datei aus Versehen ausgeführt wird, noch bevor eine gründliche
  3194.     Analyse vorgenommen werden konnte.
  3195.  
  3196.     Entdeckt TbScan eine infizierte Datei, so erscheint eine der folgenden
  3197.     Meldungen am Bildschirm:
  3198.  
  3199.  
  3200.           infiziert von [Name des Virus]
  3201.           Die Datei wurde von dem genannten Virus infiziert.
  3202.  
  3203.           Schlepper von [Name des Virus]
  3204.           Ein 'Schlepper' ist ein Programm, das selbst nicht infiziert ist,
  3205.           aber einen Bootsektorvirus enthält, den es in Ihrem Bootsektor
  3206.           installieren kann.
  3207.  
  3208.           zerstört von [Name des Virus]
  3209.           Einige Viren beschädigen Dateien. Die beschädigte Datei enthält
  3210.           selbst - im Gegensatz zu einer infizierten Datei - keinen Virus,
  3211.           wurde aber von einem Virus beschädigt.
  3212.  
  3213.           überschrieben von [Name des Virus] 
  3214.           Manche Viren überschreiben Dateien. Die überschriebene Datei
  3215.           enthält selbst - im Gegensatz zu einer infizierten Datei -
  3216.           keinen Virus, wurde aber mit unsinnigem Inhalt überschrieben.
  3217.  
  3218.           Trojanisches Pferd namens [Name des Trojanischen Pferdes]
  3219.           Die Datei ist ein Trojanisches Pferd. Führen Sie das Programm
  3220.           nicht aus, sondern löschen Sie es.
  3221.  
  3222.           Ein Witzprogramm namens [Name des Witzprogramms]
  3223.           Es gibt Programme, die eine Vireninfektion vortäuschen. Ein
  3224.           'Witzprogramm' ist jedoch vollkommen harmlos.
  3225.  
  3226.      Es kann vorkommen, daß TbScan auf eine Datei stößt, die infiziert zu
  3227.      sein scheint, obwohl aber keine Signatur gefunden werden kann. In einem
  3228.      solchen Fall stellt TbScan der Virenmeldung ein 'wahrscheinlich' voran.
  3229.  
  3230.  
  3231.      Programme zulassen
  3232.  
  3233.      Entdeckt TbScan eine Datei die er als verdächtig einstuft und darauf ein
  3234.      Alarmfenster öffnet, haben Sie die Möglichkeit, künftige Fehl-Alarme
  3235.      durch Eingabe von 'V' (Validate program = Programm zulassen) zu unter-
  3236.      binden. Beachten Sie, daß dies nur funktioniert, sofern ein entspre-
  3237.      chender Datensatz zu dieser Datei in der Anti-Vir.Dat vorhanden ist.
  3238.      Wurde ein Programm zugelassen, bleibt es künftig von der heuristischen
  3239.      Analyse ausgeschlossen. Wird eine Datei jedoch hinterher verändert (wie
  3240.      im Falle einer Vireninfektion) ändert sich auch die Checksumme in der
  3241.      Anti-Vir.Dat-Datei, und die Infektion wird erkannt.
  3242.  
  3243. =>   Beachten Sie: Ein Programm, das zugelassen wurde, wird bei der normalen
  3244.      Signaturensuche nicht übergangen.
  3245.  
  3246.  
  3247.                                      III - 16
  3248.  
  3249.  
  3250. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3251.  
  3252.  
  3253.      Heuristische Suche
  3254.  
  3255.      Haben Sie die Option 'heuristic' angegeben, ist es leicht möglich, daß
  3256.      TbScan Dateien findet, die wie ein Virus aussehen. In diesem Fall ver-
  3257.      wendet TbScan als Meldungspräfix den Ausdruck 'Möglicherweise', um Sie
  3258.      hierüber zu informieren. TbScan zeigt dann eine der folgenden Meldungen:
  3259.  
  3260.           Wahrscheinlich infiziert von einem unbekannten Virus (Level 1)
  3261.      oder:
  3262.           Möglicherweise infiziert von einem unbekannten Virus (Level 2)
  3263.  
  3264.  
  3265.     Das bedeutet jedoch nicht unbedingt, daß die Datei infiziert ist. Es
  3266.     gibt viele Dateien, die Viren ähnlich sehen aber keine sind.
  3267.  
  3268. =>  Die heuristischen Levels sind im Kapitel IV (Seite 9) erklärt.
  3269.  
  3270.  
  3271.     Falscher Alarm
  3272.  
  3273. =>  Wichtig!
  3274.     Falsche Alarme sind beim heuristischen Scannen unvermeidlich. Im vorein-
  3275.     gestellten Modus ist es sehr unwahrscheinlich, daß TbScan einen Fehl-
  3276.     alarm auslöst. Sollten Sie jedoch die Option 'heuristic' verwendet haben,
  3277.     können einige Fehlalarme vorkommen. Wie soll mit diesem Fehlalarm umge-
  3278.     gangen werden? Glaubt TbScan einen Virus entdeckt zu haben, so werden Sie
  3279.     über den Grund dieses Verdachts informiert. In den meisten Fällen können
  3280.     Sie die Begründungen beurteilen, indem Sie sich über den Zweck der bean-
  3281.     standeten Datei klar werden.
  3282.  
  3283.     Denken Sie immer daran, daß Viren andere Programme infizieren. Daher ist
  3284.     es höchst unwahrscheinlich, daß Sie lediglich ein paar infizierte Datei-
  3285.     en auf einer Festplatte finden, mit der regelmäßig gearbeitet wird. So-
  3286.     lange die heuristische Analyse nur wenige Dateien als infiziert entdeckt,
  3287.     sollten Sie dieses Ergebnis ignorieren. Aber wenn sich Ihr Computer unge-
  3288.     wöhnlich verhält und mehrere Programme von TbScan mit denselben ernsten
  3289.     Meldungen beanstandet werden, ist es sehr wahrscheinlich, daß eine In-
  3290.     fektion mit einem (bisher unbekannten) Virus vorliegt.
  3291.  
  3292.  
  3293.     Heuristische Flags
  3294.  
  3295.     Die Ergebnisse der heuristischen Suche werden abgekürzt als einzelne
  3296.     Buchstaben dargestellt, die hinter den Dateinamen geschrieben werden,
  3297.     sobald die Datei bearbeitet wurde. Es gibt zwei Arten von Abkürzungen:
  3298.     die informierenden werden in Kleinbuchstaben, die ernsten in Großbuch-
  3299.     staben angegeben.
  3300.  
  3301.     Die Kleinbuchstaben weisen auf bestimmte Eigenschaften
  3302.     der bearbeiteten Datei hin, während die Warnungen in Großbuchstaben ge-
  3303.     gebenenfalls einen Virus melden. Wenn der 'loglevel' 3 oder höher ist,
  3304.     werden nicht nur die Warnungen als Großbuchstaben angezeigt, sondern
  3305.     es wird außerdem eine ausführliche Beschreibung in die Protokolldatei
  3306.     geschrieben.
  3307.  
  3308.     Wie soll mit den Meldungen der heuristischen Suche umgegangen werden?
  3309.  
  3310.                                      III - 17
  3311.  
  3312.  
  3313. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3314.  
  3315.  
  3316.     Die weniger wichtigen Meldungen in Kleinbuchstaben haben den Zweck, Sie
  3317.     zu informieren. Sie liefern Ihnen Dateiinformationen, die für Sie inter-
  3318.     essant sein können. Die wesentlich ernsteren Meldungen in Großbuchstaben,
  3319.     KÖNNTEN auf einen Virus hinweisen. In Ihrem System gibt es jedoch ziem-
  3320.     lich sicher einige Dateien, die eine ernste Großbuchstaben-Meldungen
  3321.     hervorrufen.
  3322.  
  3323.     Die Beschreibung der heuristischen Flags finden Sie in ANHANG B.
  3324.  
  3325.  
  3326. 2.  TbScanX
  3327.  
  3328. 2.1.  Der Zweck von TbScanX
  3329.  
  3330.     Es wurden bisher schon viele Virenscanner entwickelt. Das Problem mit all
  3331.     diesen Scannern ist, daß man Sie ausführen muß. Man kann beispielsweise
  3332.     ihren Aufruf in die autoexec.bat einfügen, um immer beim Einschalten des
  3333.     Computers alle Programme überprüfen zu lassen. Werden dabei keine Viren
  3334.     gefunden, wird angenommen, daß kein Virus das System befallen hat. Um
  3335.     aber sicher zu sein, daß der Computer nicht durch einen Virus infiziert
  3336.     werden kann, müßte man den Scanner bei jedem Kopieren eines Programms auf
  3337.     die Festplatte, bei jedem Laden einer Datei aus einer Mailbox und bei
  3338.     jedem Entpacken eines Programms von einer Archiv-Datei starten. Ganz
  3339.     ehrlich: Rufen Sie jedesmal den Virenscanner auf, wenn ein neues Programm
  3340.     auf Ihrem Rechner hinzugefügt wird? Wenn nicht, riskieren Sie, daß in
  3341.     wenigen Stunden alle Dateien von einem Virus infiziert sein können...
  3342.  
  3343.     Wurde TbScanX gestartet, bleibt das Programm resident im Speicher und
  3344.     scannt AUTOMATISCH alle Dateien, die Sie ausführen, alle ausführbaren
  3345.     Dateien, die kopiert oder erstellt werden, die aus einer Mailbox ge-
  3346.     laden werden, die verändert oder aus einem Archiv dekomprimiert werden!
  3347.     Die gleiche Methode wird gegen Bootsektorviren eingesetzt: Immer wenn
  3348.     eine Diskette in ein Laufwerk gesteckt wird, wird deren Bootsektor
  3349.     gescannt. Sollte die Diskette von einem Bootsektorvirus infiziert sein,
  3350.     warnt TbScanX Sie rechtzeitig!
  3351.  
  3352.     TbScanX ist voll Netzwerk-kompatibel. Es ist nicht nötig, den Scanner
  3353.     nach dem Einloggen ins Netz nochmals zu laden.
  3354.  
  3355.  
  3356.  
  3357. 2.2. Benutzung von TbScanX
  3358.  
  3359.     Es wird empfohlen, TbScanX automatisch starten zu lassen. Dazu sollte
  3360.     es in die config.sys oder die autoexec.bat aufgenommen werden. Es ist
  3361.     wichtig, TbScanX so früh wie möglich nach dem Starten des Computers
  3362.     aufzurufen. Wir empfehlen daher den Aufruf von der config.sys aus.
  3363.  
  3364.  
  3365. =>  Beachten Sie, daß TbDriver vor TbScanX geladen werden muß!
  3366.  
  3367.     Aufruf von TBScanX
  3368.  
  3369.     Es gibt drei verschiedene Möglichkeiten, um TbScanX aufzurufen:
  3370.  
  3371.  
  3372.                                      III - 18
  3373.  
  3374.  
  3375. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3376.  
  3377.  
  3378.      1. von der DOS-Befehlszeile aus oder in der autoexec.bat:
  3379.             <Pfad>TbScanX
  3380.  
  3381.      2. von der config.sys aus als speicherresidentes Programm (ab DOS 4.0):
  3382.             Install=<Pfad>TbScanX.Exe
  3383.  
  3384.      3. von der config.sys aus als Gerätetreiber:
  3385.             Device=<Pfad>TbScanX.Exe
  3386.  
  3387. =>   Der Aufruf von TbScanX als Gerätetreiber in der config.sys mit "device="
  3388.      funktioniert nicht mit allen OEM-DOS-Versionen (von Computerherstellern
  3389.      veränderte DOS-Versionen). In diesem Fall versuchen Sie die Verwendung
  3390.      von "Install=" oder laden Sie TbScanX von der autoexec.bat aus.
  3391.  
  3392.      Anders als andere Anti-Viren-Programme können die Thunderbyte Anti-
  3393.      Viren-Programme geladen werden, bevor das Netzwerk gestartet wird,
  3394.      ohne den Schutz vor Viren im Netzwerk zu verlieren.
  3395.  
  3396.  
  3397.      Hochladen von TBScanX
  3398.  
  3399.      Zusätzlich zu den drei oben genannten Aufrufbeispielen besteht für
  3400.      Benutzer der DOS-Version 5.0 (und neuer) außerdem die Möglichkeit,
  3401.      TbScanX in den UMB (Upper Memory Block) zu laden. Verwenden Sie zum
  3402.      Programmaufruf in der autoexec.bat: 
  3403.  
  3404.             LoadHigh <Pfad>TbScanX.Exe
  3405.  
  3406.      In der config.sys wird entsprechend der folgende Aufruf verwendet:
  3407.  
  3408.             DeviceHigh=<Pfad>TbScanX.Exe
  3409.  
  3410.  
  3411.  
  3412.      TbScanX und MS-Windows
  3413.  
  3414.      Benutzer von MS-Windows sollten TbScanX starten, bevor Windows ge-
  3415.      startet wird. In diesem Fall befindet sich TbScanX nur einmal im
  3416.      Speicher, aber jedes DOS-Fenster hat trotzdem den vollen Nutzen des
  3417.      Programms. TbScanX stellt den Start von Windows fest und schaltet
  3418.      sich, wenn nötig, in einen speziellen Multitasking-Modus. In einem
  3419.      DOS-Fenster kann TbScanX abgeschaltet werden, ohne die Funktion des
  3420.      Programms in den anderen DOS-Fenstern zu beeinflussen.
  3421.  
  3422.  
  3423. 2.3. Startoptionen
  3424.  
  3425.      TbScanX kann von der Befehlszeile aus konfiguriert werden. Die ersten
  3426.      vier im folgenden erklärten Optionen sind jederzeit verfügbar, die
  3427.      anderen Optionen können nur beim ersten Aufruf angegeben werden, wenn
  3428.      TbScanX noch nicht speicherresident geladen ist.
  3429.  
  3430.  
  3431.  
  3432.  
  3433.                                      III - 19
  3434.  
  3435.  
  3436. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3437.  
  3438.  
  3439.         Option     Abk. Erklärung
  3440.         ------     ---- -------------------------------------
  3441.  
  3442.         help       ?    =Zeigt Hilfetext
  3443.         off        d    =Schaltet Scannen ab
  3444.         on         e    =Schaltet Scannen ein
  3445.         remove     r    =Entfernt TbScanX aus dem Speicher
  3446.  
  3447.         noexec     n    =Beim Ausführen nie Scannen
  3448.         allexec    a    =Beim ausführen immer Scannen
  3449.         noboot     b    =Bootsektor nicht scannen
  3450.         ems        me   =Verwendung von Expanded Memory (EMS)
  3451.         xms        mx   =Verwendung von Extended Memory (XMS)
  3452.         secure     s    =Zugriff ohne nachzufragen verweigern
  3453.         lock       l    =PC anhalten, wenn ein Virus entdeckt wurde
  3454.         compat     c    =Kompatibilität erhöhen
  3455.  
  3456.  
  3457.     help (?)
  3458.     Die Option help (abgekürzt mit "?") bewirkt die Anzeige eines Hilfe-
  3459.     textes. Wurde TbScanX bereits speicherresident geladen, werden nur noch
  3460.     die dann verfügbaren Optionen angezeigt.
  3461.  
  3462.     off (d)
  3463.     Wenn Sie die Option off (abgekürzt mit "d") verwenden, so wird TbScanX
  3464.     vorübergehend abgeschaltet, aber bleibt weiter speicherresident ge-
  3465.     laden.
  3466.  
  3467.     on (e)
  3468.     Wurde TbScanX mit der Option off abgeschaltet, so kann es mit der
  3469.     Option on (abgekürzt "e") wieder angeschaltet werden.
  3470.  
  3471.     remove (r)
  3472.     Wurde TbScanX bereits speicherresident geladen, so kann es durch den
  3473.     Aufruf von TbScanX mit der Option remove (abgekürzt "r") wieder aus dem
  3474.     Speicher entfernt werden. Wurden andere ähnliche speicherresidente Pro-
  3475.     gramme nach TbScanX geladen, so könnte die Entfernung des Programms aus
  3476.     dem Speicher große Probleme verursachen. TbScanX erkennt dies und um-
  3477.     geht diese Probleme, indem es sich in diesem Fall nicht aus dem Speicher
  3478.     entfernt, sondern nur abschaltet. 
  3479.  
  3480.     compat (c)
  3481.     In den meisten Fällen arbeitet TbScanX ohne Probleme. Es ist jedoch
  3482.     möglich, daß sich ein anderes speicherresidentes Programm nicht mit
  3483.     TbScanX verträgt. Wenn das andere TSR-Programm zuerst geladen wird,
  3484.     entdeckt TbScanX normalerweise den Konflikt und verwendet einen anderen
  3485.     Interrupt. Wenn das andere TSR-Programm nach TbScanX geladen wird und
  3486.     sich mit der Meldung, daß es schon installiert sei, beendet, können Sie
  3487.     beim ersten Starten von TbScanX die Option 'compat' verwenden.
  3488.  
  3489.     Es ist ebenfalls möglich, daß TbScanX sich mit anderen TSR-Programmen
  3490.     nicht verträgt, wenn diese EMS oder XMS benutzen. In diesem Fall hängt
  3491.     sich der Computer auf. Die Option 'compat' kann auch dieses Problem
  3492.     lösen, allerdings kann das häufige Speicherauslagern die Geschwindigkeit
  3493.     von TbScanX verringern.
  3494.  
  3495.  
  3496.                                      III - 20
  3497.  
  3498.  
  3499. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3500.  
  3501.  
  3502.     noexec (n)
  3503.     TbScanX scannt normalerweise Dateien, die sich auf einem wechselbaren
  3504.     Datenträger (also Disketten) befinden, in dem Moment, bevor sie ausge-
  3505.     führt werden sollen. Wenn Sie das nicht wollen, können Sie mit der Option
  3506.     'noexec' diese Art der Überprüfung ganz abstellen.
  3507.  
  3508.     allexec (a)
  3509.     TbScanX scannt normalerweise auszuführende Programme nur auf wechselbaren
  3510.     Datenträgern. Programme auf der Festplatte werden normalerweise nicht
  3511.     überprüft, da sie ja bereits beim Kopieren oder Downloaden auf die Fest-
  3512.     platte automatisch von TbScanX gescannt worden sein müßten. Wenn Sie alle
  3513.     Programme vor ihrem Starten überprüft haben möchten, egal ob sie sich auf
  3514.     Festplatte oder auf einer Diskette befinden, können Sie die Option
  3515.     'allexec' verwenden.
  3516.  
  3517.     noboot (b)
  3518.     TbScanX überwacht die Diskettenlaufwerke: Immer wenn der Bootsektor ge-
  3519.     lesen wird, scannt TbScanX ihn, um Bootsektorviren aufzuspüren. Wenn Sie
  3520.     eine Diskette wechseln, versucht DOS als erstes den Bootsektor zu lesen,
  3521.     um herauszubekommen, welcher Diskettentyp eingelegt worden ist.
  3522.     Und sobald DOS den Bootsektor liest, überprüft TbScanX ihn auf Viren.
  3523.     Wenn Sie diese Arbeitsweise nicht wollen oder sie Probleme verursacht,
  3524.     können Sie sie mit der Option 'noboot' abschalten. Wenn Sie diese Option
  3525.     verwenden, benötigt TbScanX weniger Speicherplatz, da die Signaturen der
  3526.     Bootsektorviren nicht in den Speicher geladen werden müssen.
  3527.  
  3528.     secure (s)
  3529.     TbScanX fragt normalerweise den Anwender, ob die Verarbeitung fortgesetzt
  3530.     oder abgebrochen werden soll, wenn es einen Virus entdeckt. In manchen
  3531.     beruflichen Umgebungen sollte diese Entscheidung nicht den Angestellten
  3532.     überlassen werden. Durch die Verwendung der Option 'secure' ist es nicht
  3533.     länger möglich, verdächtige Operationen fortzusetzen.
  3534.  
  3535.     lock (l)
  3536.     Wenn Sie der Betreuer von Computern sind, können Sie die Option 'lock'
  3537.     benutzen, um den Computer von TbScanX anhalten zu lassen, wenn es einen
  3538.     Virus entdeckt hat.
  3539.  
  3540.     ems (me)
  3541.     Wenn Sie die Option 'ems' verwenden, benutzt TbScanX Expanded Memory,
  3542.     wie er von LIM/EMS-Speichererweiterungskarten oder von 386-Speicher-
  3543.     Managern zur Verfügung gestellt wird, um dort die Signaturen und einen
  3544.     Teil des Programmcodes zu speichern. Expanded Memory wird in 16 KByte-
  3545.     großen Blöcken belegt. Da der konventionelle Hauptspeicher für Ihre
  3546.     Programme von größerem Nutzen ist als das Expanded Memory, ist die
  3547.     Benutzung des EMS-Speichers zu empfehlen. TbScanX kann bis zu 64 KByte
  3548.     EMS-Speicher belegen.
  3549.  
  3550.     xms (mx)
  3551.     Mit der Option 'xms' weisen Sie TbScanX an, die Signaturen und Teile des
  3552.     Programmcodes in das Extended Memory zu laden. Ein Erweiterungsspeicher-
  3553.     Manager, wie beispielsweise HIMEM.SYS muß installiert werden, um die
  3554.     Option 'xms' verwenden zu können. Auf XMS-Speicher kann von DOS aus nicht
  3555.     direkt zugegriffen werden, so daß die Signaturen für jedes Scannen in den
  3556.  
  3557.  
  3558.                                      III - 21
  3559.  
  3560.  
  3561. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3562.  
  3563.  
  3564.     konventionellen Speicher kopiert werden müssen.
  3565.  
  3566.     Um den Originalinhalt des Speichers zu sichern, braucht TbScanX daher die
  3567.     doppelte Menge an XMS-Speicher. Das Speicherauslagern ist bei XMS-Speicher
  3568.     langsamer als bei EMS-Speicher, so daß dem EMS-Speicher (sofern vorhanden)
  3569.     der Vorzug zu geben ist, Es könnte sein, daß das Auslagern von XMS-Spei-
  3570.     cherbereichen Konflikte mit anderen Programmen verursacht. Falls Probleme
  3571.     auftreten, sollten Sie TbScanX ohne die 'xms'-Option aufrufen. TbScanX
  3572.     kann etwa 2*50 KByte Extended Memory benutzen.
  3573.  
  3574.     Beispiel:
  3575.         Device=C:\utils\TbScanX.Exe xms noboot
  3576.  
  3577.  
  3578. 2.4. Der Scan-Vorgang
  3579.  
  3580.     Jedesmal, wenn ein Programm versucht in eine ausführbare Datei (also eine
  3581.     Datei mit einer Dateinamenerweiterung .com oder .exe) zu schreiben, ist
  3582.     der Text "*Scanning*" in der linken oberen Bildschirmecke zu sehen, bis
  3583.     TbScanX das Scannen abgeschlossen hat. Da TbScanX jedoch für das Scannen
  3584.     nur sehr wenig Zeit benötigt, erscheint die Meldung nur sehr kurz. Der
  3585.     Text "*Scanning*" erscheint ebenfalls, wenn ein Programm direkt von einer
  3586.     Diskette aus gestartet wird, und wenn DOS auf den Bootsektor eines
  3587.     Diskettenlaufwerks zugreift.
  3588.  
  3589.  
  3590.     Entdecken von Viren
  3591.  
  3592.     Wenn TbScanX entdeckt, daß eine Virensignatur in eine Datei geschrieben
  3593.     wird, so erscheint eine Meldung am Bildschirm:
  3594.  
  3595.        +-----Unterbrechung durch TBAV-----+
  3596.        |             WARNING!             |
  3597.        |TbScanX entdeckte, daß <Dateiname>|
  3598.        |infiziert ist durch               |
  3599.        |(Name des Virus)                  |
  3600.        |Abbrechen? (Y/N)                  |
  3601.        +----------------------------------+
  3602.  
  3603.     Drücken Sie die Taste "N" um fortzufahren, jede andere Taste um den Vor-
  3604.     gang abzubrechen.
  3605.  
  3606.     Entdeckt TbScanX eine Signatur in einem Bootsektor, erscheint folgende
  3607.     Meldung:
  3608.  
  3609.        +-------Unterbrechung durch TBAV------+
  3610.        |            WARNUNG!                 |
  3611.        |TbScanX entdeckte, daß der Bootsektor|
  3612.        |des Laufwerks <Lw>: infiziert ist    |
  3613.        |durch (Name des Virus)               |
  3614.        |Booten Sie NICHT von diesem Laufwerk!|
  3615.        +-------------------------------------+
  3616.  
  3617.  
  3618.     Auch wenn ein Virus im Bootsektor des genannten Laufwerks zu sein
  3619.     scheint, so kann er jedoch nichts tun, bis er ausgeführt wird. Erst
  3620.  
  3621.                                      III - 22
  3622.  
  3623.  
  3624. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3625.  
  3626.  
  3627.     wenn Sie Ihren Computer mit einer solchen infizierten Diskette booten,
  3628.     überträgt sich der Virus auf Ihre Festplatte.
  3629.  
  3630.     Um den Namen des Virus anzugeben, benötigt TbScanX noch einmal die Signa-
  3631.     turendatei. Wenn die Signaturendatei fehlt (wenn sie gelöscht ist, oder
  3632.     Sie die Diskette mit ihr aus dem Laufwerk genommen haben), oder keine
  3633.     weiteren Dateien mehr geöffnet werden können ('files=' in config.sys),
  3634.     entdeckt TbScanX auch weiterhin Viren, nur kann es deren Namen nicht
  3635.     mehr angeben. Es zeigt statt dessen [Name unbekannt] an.
  3636.  
  3637.  
  3638. 3.  TbCheck
  3639.  
  3640.  
  3641. 3.1. Der Zweck von TbCheck
  3642.  
  3643.     TbCheck überprüft die Unversehrtheit von Programmdateien. Das Programm
  3644.     verwendet dabei die der Datei Anti-Vir.Dat gespeicherten Informationen,
  3645.     die von TbSetup erzeugt wurden. Diese Informationen enthalten Angaben
  3646.     über die Größe und die Prüfsumme jeder einzelnen Programm-Datei. Durch
  3647.     Vergleichen der abgespeicherten Daten mit den aktuellen können alle
  3648.     Veränderungen an den überprüften Dateien festgestellt werden. Auf diese
  3649.     Weise können auch durch Viren-Infektion verursachte Veränderungen be-
  3650.     merkt werden.
  3651.  
  3652.     Angenommen Sie verwenden einen gewöhnlichen Integritätsprüfer, dessen
  3653.     Aufruf Sie in die Autoexec.Bat eingefügt haben, um immer beim Einschalten
  3654.     des Computers alle Programme überprüfen zu lassen. Wurden keine Pro-
  3655.     grammveränderungen festgestellt, so scheint Ihr Computer nicht von Viren
  3656.     infiziert zu sein. Um aber sicher zu sein, daß kein Virus den Computer
  3657.     befallen hat, muß der Test immer wieder durchgeführt werden.
  3658.  
  3659.     Wurde hingegen TbCheck aufgerufen, bleibt es resident im Speicher und
  3660.     überprüft nun automatisch all jene Programme, die gestartet werden sollen.
  3661.  
  3662.     TbCheck ist voll Netzwerk-kompatibel. Ein erneuter Aufruf nach dem Ein-
  3663.     loggen ins Netz ist nicht nötig.
  3664.  
  3665.  
  3666. 3.2. Benutzung von TbCheck
  3667.  
  3668.     Wir empfehlen Ihnen, TbCheck automatisch starten zu lassen. Dazu sollte
  3669.     es in die config.sys oder die autoexec.bat aufgenommen werden. Es ist
  3670.     wichtig, TbCheck so früh wie möglich nach dem Starten des Computers
  3671.     aufzurufen, am besten also von der config.sys aus.
  3672.  
  3673. =>  Stellen Sie sicher das TbDriver bereits geladen ist - TbCheck kann sonst
  3674.     nicht gestartet werden.
  3675.  
  3676.  
  3677.     Aufruf von TBCheck
  3678.  
  3679.     Es gibt drei verschiedene Möglichkeiten, um TbCheck aufzurufen:
  3680.  
  3681.     1. von der DOS-Befehlszeile aus oder in der autoexec.bat:
  3682.           <Pfad>TbCheck
  3683.  
  3684.                                      III - 23
  3685.  
  3686.  
  3687. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3688.  
  3689.  
  3690.     2. von der config.sys aus als speicherresidentes Programm (ab DOS 4.0):
  3691.           Install=<Pfad>TbCheck.Exe
  3692.  
  3693.        Der Befehl "Install=" in der config.sys steht in den DOS-Versionen
  3694.        vor der DOS-Version 4.0 nicht zur Verfügung.
  3695.  
  3696.     3. von der config.sys aus als Gerätetreiber:
  3697.           Device=<Pfad>TbCheck.Exe
  3698.  
  3699.  
  3700.     Der Aufruf von TbCheck als Gerätetreiber in der config.sys mit "device="
  3701.     funktioniert nicht mit allen OEM-DOS-Versionen (von Computerherstellern
  3702.     modifizierte DOS-Versionen). In diesem Fall versuchen Sie "Install="
  3703.     einzusetzen oder laden Sie TbCheck von der autoexec.bat aus.
  3704.  
  3705.     Anders als andere Anti-Virus-Programme können die Thunderbyte Anti-
  3706.     Virus-Programme geladen werden, bevor das Netzwerk gestartet wird, ohne
  3707.     den Schutz vor Viren im Netzwerk zu verlieren.
  3708.  
  3709.  
  3710.     Hochladen von TbCheck
  3711.  
  3712.     Zusätzlich zu den drei oben genannten Aufrufbeispielen besteht für
  3713.     Benutzer der DOS-Version 5.0 (und neuer) außerdem die Möglichkeit,
  3714.     TbCheck in den UMB (Upper Memory Block) zu laden. Verwenden Sie zum
  3715.     Programmaufruf in der autoexec.bat: 
  3716.  
  3717.              LoadHigh <path>TbCheck.Exe
  3718.  
  3719.     Von der Config.Sys aus kann TbCheck ebenfalls hochgeladen werden:
  3720.  
  3721.              DeviceHigh=<path>TbCheck.Exe
  3722.  
  3723.  
  3724.     TbCheck und MS-Windows
  3725.  
  3726.     Benutzer von MS-Windows sollten TbCheck starten, bevor Windows ge-
  3727.     startet wird. In diesem Fall befindet sich TbCheck nur einmal im
  3728.     Speicher, aber jedes DOS-Fenster hat trotzdem den vollen Nutzen des
  3729.     Programms. TbCheck stellt den Start von Windows fest und schaltet
  3730.     sich, wenn nötig, in einen speziellen Multitasking-Modus. In einem
  3731.     DOS-Fenster kann TbCheck abgeschaltet werden, ohne die Funktion des
  3732.     Programms in den anderen DOS-Fenstern zu beeinflussen.
  3733.  
  3734.  
  3735. 3.3. Startoptionen
  3736.  
  3737.     In der Befehlszeile können beim Programmaufruf Optionen angegeben
  3738.     werden. Die ersten vier im folgenden erklärten Optionen sind jederzeit
  3739.     verfügbar, die anderen Optionen können nur beim ersten Aufruf angegeben
  3740.     werden, wenn TbCheck noch nicht speicherresident geladen ist.
  3741.  
  3742.  
  3743.  
  3744.  
  3745.  
  3746.                                      III - 24
  3747.  
  3748.  
  3749. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3750.  
  3751.  
  3752.     Option  Parameter   Abk. Erklärung
  3753.     ------  ---------   ---- ----------------------------
  3754.     help                ?    =Zeigt Hilfetext
  3755.     off                 d    =Schaltet Überprüfung ab
  3756.     on                  e    =Schaltet Überprüfung an
  3757.     remove              r    =Entfernt TbCheck aus dem Speicher
  3758.  
  3759.     noavok  [=<Laufw.>] o    =Ignoriert das Fehlen von Anti-Vir-Daten
  3760.     fullcrc             f    =Überprüfung der ganzen Dateien (langsam!)
  3761.     secure              s    =Unbekannte oder veränderte Programme abbrechen
  3762.  
  3763.  
  3764.  
  3765.     help (?)
  3766.     Mit dieser Option zeigt TbCheck die oben abgebildete Optionen-Liste an.
  3767.  
  3768.     off (d)
  3769.     Deaktiviert TbCheck, das Programm verbleibt aber im Speicher und kann
  3770.     wieder reaktiviert werden.
  3771.  
  3772.     on (e)
  3773.     TbCheck kann damit wieder aktiviert werden, nachdem es mit der 'off'-
  3774.     Option abgeschaltet wurde.
  3775.  
  3776.     remove (r)
  3777.     Wurde TbCheck bereits speicherresident geladen, so kann es durch den
  3778.     Aufruf von TbCheck mit der Option remove (abgekürzt "r") wieder aus dem
  3779.     Speicher entfernt werden. Wurden andere ähnliche speicherresidente Pro-
  3780.     gramme nach TbCheck geladen, so würde die Entfernung des Programms aus
  3781.     dem Speicher große Probleme verursachen. TbCheck erkennt dies und um-
  3782.     geht diese Probleme, indem es sich in diesem Fall nicht aus dem Speicher
  3783.     entfernt, sondern nur abschaltet.
  3784.  
  3785.     noavok (o)
  3786.     TbCheck zeigt eine Meldung an, wenn es bei der Überprüfung eines Pro-
  3787.     gramms in der Datei Anti-Vir.Dat keine Informationen findet, oder wenn
  3788.     diese Datei nicht vorhanden ist. Dies dient dazu, davor zu warnen, wenn
  3789.     die Datei Anti-Vir.Dat vielleicht in böser Absicht gelöscht wurde oder
  3790.     jemand ein neues Programm auf Ihrem Computer installiert hat.
  3791.      
  3792.     Auch wenn es empfehlenswert ist, Anti-Vir.Dat-Dateien auf allen Laufwer-
  3793.     ken anzulegen, so ist dies nicht immer sinnvoll bzw. möglich. So etwa
  3794.     auf Disketten, RAM-Disks und auf CD-ROM. Mit der Option noavok (abge-
  3795.     kürzt "o") kann das Anzeigen der Meldung, daß keine Anti-Vir.Dat-Infor-
  3796.     mationen gefunden wurden, für ganze Laufwerke verhindert werden. Soll
  3797.     die Warnmeldung für Überprüfungen auf den Diskettenlaufwerken A: und B:
  3798.     und auf der RAM-Disk E: nicht mehr angezeigt werden, so ist die Option
  3799.     wie folgt anzugeben:
  3800.  
  3801.            "NoAvOk=ABE".
  3802.  
  3803.     Wird die Option noavok ohne die Nennung von Laufwerken angegeben, werden
  3804.     alle Meldungen über fehlende anti-vir.dat-Informationen unterdrückt.
  3805.  
  3806. =>  Bedenken Sie, daß dies ein Sicherheitsrisiko darstellt: Löscht ein Virus
  3807.  
  3808.  
  3809.                                      III - 25
  3810.  
  3811.  
  3812. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3813.  
  3814.  
  3815.     die Datei Anti-Vir.Dat, erhalten Sie keine Warnungen mehr über weitere
  3816.     Infektionen.
  3817.  
  3818. =>  Die Option noavok verhindert nicht die Überprüfung der aufgerufenen
  3819.     Programme. Wenn Informationen verfügbar sind, wird bei der Feststellung
  3820.     von Veränderungen an der Programmdatei weiterhin eine Alarmmeldung aus-
  3821.     gegeben.
  3822.  
  3823.     fullcrc (f)
  3824.     Normalerweise überprüft TbCheck Programmdateien nur in der Nähe des
  3825.     Einsprungpunktes, da Viren sich beim Infizieren eines Programms immer
  3826.     in diesem Bereich durch Veränderungen bemerkbar machen. Es reicht für
  3827.     die Suche nach Viren also völlig aus, nur diesen Bereich zu überprüfen.
  3828.     Manche Programme speichern interne Informationen am Ende der Programm-
  3829.     datei ab. Diese Veränderungen führen normalerweise nicht zum Alarm.
  3830.     Soll aus irgendeinem Grund eine volle Überprüfung der gesamten Datei
  3831.     erfolgen, so kann dies mit der Option fullcrc (abgekürzt "f") veranlaßt
  3832.     werden. Bedenken Sie, daß dies die Überprüfung bemerkbar verlangsamen
  3833.     kann. Diese Option wird für den normalen Gebrauch der Viren-Überwachung
  3834.     nicht empfohlen!
  3835.  
  3836.     secure (s)
  3837.     Wenn eine Datei verändert wurde oder keine anti-vir.dat-Informationen
  3838.     vorliegen, fragt TbCheck normalerweise den Benutzer ob der Programmstart
  3839.     abgebrochen werden soll, oder ob das Programm starten darf. Mit der
  3840.     Option secure (abgekürzt "s") kann verhindert werden, daß Unbefugte
  3841.     neue oder unbekannte Programme auf einem Computer starten können. Die
  3842.     Ausführung veränderter oder unbekannter Programme wird ohne Auswahl-
  3843.     möglichkeiten abgebrochen.
  3844.  
  3845.  
  3846. 3.4. Während der Überprüfung
  3847.  
  3848.     Jedesmal, wenn ein Programm, also eine Datei mit der Erweiterung .COM
  3849.     oder .EXE gestartet werden soll, prüft TbCheck, ob dieser Aufruf zu-
  3850.     lässig ist. Für kurze Zeit erscheint in der oberen linken Ecke des Bild-
  3851.     schirms der Text "*Checking*". Während der gesamten Überprüfung ist diese
  3852.     Meldung zu sehen. Da TbCheck sehr schnell arbeitet, werden Sie diese
  3853.     Meldung nur kurze Zeit sehen.
  3854.  
  3855.  
  3856.     Feststellen von Datei-Veränderungen
  3857.  
  3858.     TbCheck überprüft ein aufgerufenes Programm in sehr kurzer Zeit. Werden
  3859.     dabei Änderungen an der überprüften Programmdatei feststellt, erscheint
  3860.     ein Fenster auf dem Bildschirm, das eine Meldung in Ihrer Sprache an-
  3861.     zeigt. Sie können dann wählen, ob Sie den Programmaufruf abbrechen oder
  3862.     das aufgerufene Programm starten lassen wollen.
  3863.  
  3864.     Wenn in der Datei anti-vir.dat keine Informationen über das zu über-
  3865.     prüfende Programm vorliegen, so informiert Sie TbCheck auch hierüber.
  3866.     Sie können in diesem Fall den Programmaufruf abbrechen, oder das Programm
  3867.     ohne Überprüfung starten lassen.
  3868.  
  3869.  
  3870.  
  3871.  
  3872.                                      III - 26
  3873.  
  3874.  
  3875. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3876.  
  3877.  
  3878. 3.5. TbCheck testen
  3879.  
  3880.     Natürlich würden Sie dieses Programm, das Sie nun benutzen, gerne einmal
  3881.     testen. Anders als etwa ein Textverarbeitungsprogramm ist TbCheck nur
  3882.     sehr schwierig zu testen. Wenn Sie zum Beispiel 25 zufällige Bytes eines
  3883.     Programms verändern, so ist es sogar wahrscheinlich, daß TbCheck keine
  3884.     Veränderungen feststellt. TbCheck untersucht standardmäßig nur den von
  3885.     Viren immer veränderten Einsprungbereich des Programms, und die Wahr-
  3886.     scheinlichkeit, daß Sie mit Ihren Veränderungen genau diesen Bereich
  3887.     treffen, ist sehr gering.
  3888.  
  3889.  
  3890.  
  3891. 4. TbClean
  3892.  
  3893.  
  3894. 4.1. Der Zweck von TbClean
  3895.  
  3896.     TbClean ist ein Programm, mit dessen Hilfe Viren aus infizierten Dateien
  3897.     entfernt werden können. Nachdem der Virus entfernt wurde, kann das Pro-
  3898.     gramm wie zuvor benutzt werden, ohne daß ein Risiko besteht, daß andere
  3899.     Dateien infiziert oder beschädigt werden könnten.
  3900.  
  3901.  
  3902.     Konventionelle Virenbeseitigung
  3903.  
  3904.     TbClean arbeitet vollkommen anders als konventionelle Virenbeseitiger.
  3905.     Das Wichtigste dabei ist, daß TbClean im Gegensatz zu diesen herkömm-
  3906.     lichen Programmen keine Viren kennen muß. Die Virenbeseitigung wird mit
  3907.     einer völlig anderen Methode durchgeführt, die mit jedem Virus zurecht-
  3908.     kommt - auch unbekannten. TbClean kann Viren mit zwei verschiedenen
  3909.     Verfahren entfernen: einem wiederherstellenden und einem heuristischen.
  3910.  
  3911.  
  3912.     Keine Informationen verfügbar?
  3913.  
  3914.     Bei der heuristischen Virenbeseitigungsmethode benötigt TbClean keinerlei
  3915.     Informationen über den Virus und auch keine Informationen über das Pro-
  3916.     gramm in seinem ursprünglichen Zustand. Diese Methode ist besonders dann
  3917.     hervorragend, wenn Ihr Computer von einem unbekannten Virus befallen wur-
  3918.     de, und Sie versäumt haben, mit TbSetup Anti-Vir.Dat-Dateien zu erstellen.
  3919.  
  3920.     Bei heuristische Virenbeseitiung lädt TbClean die infizierte Datei und
  3921.     emuliert dabei den Programmcode, um herauszufinden, welcher Teil des Pro-
  3922.     grammcodes zur Originaldatei gehört und welcher zum Virus.
  3923.     Das Ergebnis wird dann als erfolgreich bewertet, wenn die Funktionsfähig-
  3924.     keit des Originalprogramms wieder vollkommen hergestellt ist, und die
  3925.     Funktionstüchtigkeit des Virus vollständig zerstört wurde.
  3926.  
  3927. =>  Beachten Sie, daß das nicht bedeutet, daß die desinfizierte Datei der
  3928.     Originaldatei 100%ig entspricht.
  3929.  
  3930.     Wenn das Programm von TbClean mit der heuristischen Methode desinfiziert
  3931.     wurde, wird die Datei höchstwahrscheinlich mit dem ursprünglichen Zustand
  3932.     nicht vollkommen übereinstimmen. Dies ist weder ein Anzeichen für das
  3933.  
  3934.                                      III - 27
  3935.  
  3936.  
  3937. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3938.  
  3939.  
  3940.     Versagen von TbClean, noch bedeutet es, daß die Datei immer noch infi-
  3941.     ziert wäre. Es ist ganz normal, wenn die heuristisch bearbeitete Datei
  3942.     größer ist, als das Original. TbClean versucht kein Risiko einzugehen
  3943.     und will verhindern, daß zuviel aus der Datei gelöscht wird. Die Bytes,
  3944.     die am Ende der Datei stehengelassen werden, sind 'toter' Code, da diese
  3945.     Instruktion nie wieder ausgeführt werden können, nachdem der Sprung zu
  3946.     ihnen am Anfang der Datei entfernt wurde.
  3947.     Sollte es sich bei der bereinigten Datei um eine EXE-Datei handeln, so
  3948.     dürften sich einige Bytes am Programmbeginn - im Exe-Programmkopf - ge-
  3949.     ändert haben. Es gibt mehrere brauchbare Lösungen, den Exe-Programmkopf
  3950.     zu rekonstruieren, und TbClean kann den ursprünglichen Programmzustand
  3951.     natürlich niemals kennen. Die Funktionsfähigkeit der wiederhergestellten
  3952.     Datei ist selbstverständlich die gleiche.
  3953.  
  3954. =>  Beachten Sie, daß sich dies nur auf die heuristische Methode der Virenbe-
  3955.     seitigung bezieht. Wenn die notwendigen Informationen in der Anti-
  3956.     Vir.Dat-Datei verfügbar gewesen sind, so wird das desinfizierte Programm
  3957.     normalerweise mit der virenfreien Original-Datei vollkommen überein-
  3958.     stimmen.
  3959.  
  3960.     Es ist möglich, daß die infizierte Datei von mehreren Viren oder mehreren
  3961.     Instanzen des gleichen Virus infiziert worden ist. Manche Viren infizie-
  3962.     ren ein und dieselbe Datei immer wieder, wodurch diese natürlich immer
  3963.     größer wird. Sollte TbClean mit der heuristischen Methode gegen den Virus
  3964.     vorgegangen sein, dann ist es sehr wahrscheinlich, daß nur eine Instanz
  3965.     des Virus gelöscht wurde. In diesem Fall muß der Virenbeseitigungsvorgang
  3966.     unbedingt so oft wiederholt werden, bis Ihnen TbClean meldet, daß nichts
  3967.     weiter gelöscht werden kann.
  3968.  
  3969.  
  3970.  
  3971. 4.2. Benutzung von TbClean
  3972.  
  3973.     Nachdem Sie einen oder mehrere Viren ausfindig gemacht haben, ist alles
  3974.     was Sie zu tun haben, die 'Start cleaning'-Option im TbClean-Menü auszu-
  3975.     wählen. Nachdem Sie die betreffenden Dateinamen angegeben haben, startet
  3976.     TbClean. Zuvor gestattet TbClean die Angabe zusätzlicher Parameter. Diese
  3977.     werden im folgenden besprochen.
  3978.  
  3979.  
  3980.     Das TbClean-Menü
  3981.  
  3982.     Sie können TbClean in Verbindung mit einigen nützlichen Parametern,
  3983.     welche im TbClean-Menü aufgelistet sind, ausführen. Sie können diese
  3984.     Parameter aktivieren, indem Sie den Cursorbalken auf die entsprechende
  3985.  
  3986.  
  3987.  
  3988.  
  3989.                                      III - 28
  3990.  
  3991.  
  3992. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  3993.  
  3994.  
  3995.     Zeile bewegen und Ihre Wahl mit <Enter> bestätigen. Eine kleine Marke
  3996.     zeigt Ihnen, das der entsprechende Parameter aktiviert ist.
  3997.  
  3998.  
  3999.      +----Main menu-----+
  4000.      |  Confi+-----TbClean menu-----+
  4001.      |  TbSet|  Start cleaning      |
  4002.      |  TbSca|  List-file name      |
  4003.      |  TbUti|  Use TBAV.INI file   |
  4004.      |  TbCLe|  Prompt for pause    |
  4005.      |  TBAV |v Use Anti-Vir.Dat    |
  4006.      |  Docum|v Expanded memory     |
  4007.      |  Quit |  Show program loops  |
  4008.      |  eXit |  Make list file      |
  4009.      +-------+----------------------+
  4010.  
  4011.  
  4012.      List-file name 
  4013.  
  4014.      Wenn Sie diese Option wählen, müssen Sie den Namen der Datei angeben,
  4015.      die als Listendatei verwendet werden soll (siehe auch Option 'make list-
  4016.      file').
  4017.  
  4018.  
  4019.      Use TBAV.INI file
  4020.  
  4021.      Wenn Sie diese Option auswählen, ist die Konfiguration von TbClean, so
  4022.      wie sie in der Datei TBAV.INI abgespeichert ist, auch bei Aufruf des
  4023.      Programms von der Befehlszeile aus, gültig. Geben Sie also acht, da
  4024.      die Optionen, die in der Datei TBAV.INI spezifiziert wurden, auf DOS-
  4025.      Ebene nicht außer Kraft gesetzt werden können. Siehe auch Kapitel I-2
  4026.      ('Konfiguration').
  4027.  
  4028.  
  4029.      Prompt for pause 
  4030.  
  4031.      TbClean hält die Ausgabe der Disassembling-Informationen nach jeder
  4032.      vollen Bildschirmseite an, damit Sie die Ergebnisse genauer studieren
  4033.      können.
  4034.  
  4035.  
  4036.      Use Anti-Vir.Dat 
  4037.  
  4038.      Wird diese Option abgeschaltet, verhält sich TbClean so, als wären keine
  4039.      Anti-Vir.Dat-Informationen verfügbar und führt daher die heuristische
  4040.      Virenbeseitigung durch.
  4041.  
  4042.  
  4043.      Show program loops
  4044.  
  4045.      Normalerweise versucht TbClean die Bedingungen von Schleifen nachzuvoll-
  4046.      ziehen, um Schleifen, die mehrere tausend mal emuliert werden, nicht am
  4047.      Bildschirm anzuzeigen. Mit dieser Option arbeitet TbClean jedoch jede
  4048.      Programmschleife normal ab.
  4049.  
  4050. =>   Bedenken Sie, daß die Geschwindigkeit von TbClean dabei drastisch ab-
  4051.  
  4052.                                      III - 29
  4053.  
  4054.  
  4055. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4056.  
  4057.  
  4058.      nimmt. Kombinieren Sie diese Option NICHT mit der Option 'list', die
  4059.      Protokolldatei könnte sonst auf mehrere Megabyte an Daten anwachsen.
  4060.  
  4061.  
  4062.      Expanded Memory
  4063.  
  4064.      Wenn TbClean das Vorhandensein von Expanded Memory (EMS) entdeckt, so
  4065.      wird dieser automatisch bei der heuristischen Virenbeseitigung benutzt.
  4066.      Sollte Ihr EMS-Speicher jedoch sehr langsam sein, bzw. der Speicherma-
  4067.      nager nicht besonders stabil arbeiten, können Sie den Gebrauch des
  4068.      EMS-Speichers mit dieser Option verhindern.
  4069.  
  4070.  
  4071.      Make list file 
  4072.  
  4073.      TbClean erstellt eine Protokolldatei, in der chronologisch das Dis-
  4074.      assemblieren des zu entfernenden Virus protokolliert wird. 
  4075.  
  4076.  
  4077. 4.3. Startoptionen
  4078.  
  4079.     Beim Aufruf von TbClean können Optionen angegeben werden. Diese können
  4080.     ausgeschrieben oder abgekürzt angegeben werden. Ausgeschrieben sind die
  4081.     Optionen besser zu merken, weshalb sie in diesem Handbuch auch in dieser
  4082.     Form verwendet werden.
  4083.  
  4084.     Option    Parameter     Abk.  Erklärung
  4085.     ------    ---------     ---- --------------------------------------------
  4086.  
  4087.     help                    he   =Hilfetext (-? = Kurze Hilfe)
  4088.     pause                   pa   =Das 'Pause'-Prompt wird aktiviert
  4089.     mono                    mo   =Verwendet am Bildschirm Monochrommodus
  4090.     noav                    na   =Ant-Vir.Dat-Dateien nicht verwenden
  4091.     noems                   ne   =EMS-Speicher nicht verwenden
  4092.     showloop                sl   =Jede Schleifeniteration anzeigen
  4093.     list [=<Dateiname>]     li   =Eine Protokolldatei erstellen
  4094.  
  4095.  
  4096.     Im folgenden werden alle Startoptionen kurz erklärt.
  4097.  
  4098.     help (he)
  4099.     Wenn Sie diese Option benutzen, zeigt TbClean den Inhalt der TBCLEAN.HLP-
  4100.     Datei an, sofern sie sich im Verzeichnis von TbClean befindet. Mit der
  4101.     Option '?' erhalten Sie eine zusammengefaßte Hilfeinformation, wie oben
  4102.     aufgeführt.
  4103.  
  4104.     pause (pa)
  4105.     Wenn Sie die Option 'pause' angeben, wird TbClean nach jeder Bildschirm-
  4106.     seite mit Disassembler-Informationen eine Pause machen. Damit haben Sie
  4107.     die Möglichkeit, die Ergebnisse genauer anzusehen.
  4108.  
  4109.     mono (mo)
  4110.     Mit dieser Option wird die Verwendung von Farben auf Ihrem Bildschirm
  4111.     unterlassen. Dadurch kann die Darstellung auf LCD-Bildschirmen oder farb-
  4112.     emulierenden Schwarzweiß-Systemen verbessert werden.
  4113.  
  4114.                                      III - 30
  4115.  
  4116.  
  4117. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4118.  
  4119.  
  4120.     noav (na)
  4121.     Mit dieser Option verhält sich TbClean, als ob keine Anti-Vir.Dat-Infor-
  4122.     mationen zur Verfügung stünden.
  4123.  
  4124.     noems (ne)
  4125.     Wenn TbClean das Vorhandensein von Expanded Memory (EMS) entdeckt, so
  4126.     wird dieser automatisch bei der heuristischen Virenbeseitigung benutzt.
  4127.     Sollte Ihr EMS-Speicher jedoch sehr langsam sein, bzw. der Speichermana-
  4128.     ger nicht besonders stabil arbeiten, können Sie den Gebrauch des EMS-Spei-
  4129.     chers mit der Option 'noems' verhindern.
  4130.  
  4131.     showloops (sl)
  4132.     Normalerweise versucht TbClean die Bedingungen von Schleifen nachzuvoll-
  4133.     ziehen, um Schleifen, die mehrere tausend mal emuliert werden, nicht am
  4134.     Bildschirm anzuzeigen. Mit dieser Option arbeitet TbClean jedoch jede
  4135.     Programmschleife normal ab.
  4136.  
  4137. =>  Bedenken Sie, daß die Geschwindigkeit von TbClean dabei drastisch ab-
  4138.     nimmt. Kombinieren Sie diese Option NICHT mit der Option 'list', denn
  4139.     die Protokolldatei könnte sonst auf mehrere Megabyte an Daten anwachsen.
  4140.  
  4141.     list [=<Dateiname>] (li)
  4142.     Wenn Sie diese Option benutzen, wird Ihnen TbClean eine Protokolldatei
  4143.     erstellen, in der chronologisch das Disassemblieren des zu entfernenden
  4144.     Virus protokolliert wird. 
  4145.  
  4146.     Beispiele
  4147.         TbClean VIRUS.EXE
  4148.  
  4149.     TbClean legt unter dem Namen VIRUS.VIR eine Sicherheitskopie an und
  4150.     desinfiziert VIRUS.EXE.
  4151.  
  4152.         TbClean VIRUS.EXE TEST.EXE
  4153.  
  4154.     TbClean kopiert VIRUS.EXE nach TEST.EXE und desinfiziert TEST.EXE.
  4155.  
  4156.  
  4157. 4.4. Der Cleaning-Prozeß
  4158.  
  4159.     Wählen Sie 'Start cleaning' im TBAV-Menü. Nun spezifizieren Sie den
  4160.     Namen der Datei, die desinfiziert werden soll. Angenommen, Sie wollen
  4161.     die Programmdatei virus.exe desinfizieren:
  4162.  
  4163.     Geben Sie den Namen der zu säubernden Datei ein, TbClean erstellt zuerst
  4164.     ein Backup!
  4165.                C:\VIRUS\VIRUS.EXE 
  4166.  
  4167.     Das ThunderBYTE Utility säubert nach einem Datei-für-Datei-Ansatz: Eine
  4168.     Datei säubern, das Resultat überprüfen und dann mit der nächsten Datei
  4169.     fortfahren. Dies hat für Sie den Vorteil, daß Sie genau mitverfolgen
  4170.     können, welche Datei sauber ist, welche beschädigt wurde und durch ein
  4171.     Backup ersetzt werden muß, und welche immer noch infiziert ist.
  4172.  
  4173.     Geben Sie den Namen der desinfizierten Datei an. Darf das infizierte
  4174.     Programm geändert werden, tragen Sie nichts ein.
  4175.  
  4176.                C:\VIRUS\TEST.EXE
  4177.  
  4178.                                      III - 31
  4179.  
  4180. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4181.  
  4182.  
  4183.     Durch Spezifizieren eines anderen Dateinamens (z.B. 'test.exe') geben
  4184.     Sie an, daß die desinfizierte Datei die Original-.EXE-Datei nicht über-
  4185.     schreiben darf. In unserem Beispiel wird TbClean die Datei VIRUS.EXE
  4186.     nach TEST.EXE kopieren und TEST.EXE desinfizieren. Der Säuberungsprozeß
  4187.     wird dann in Gang gesetzt.
  4188.  
  4189.     Wenn Sie keinen Backup-Dateinamen angeben, erzeugt TbClean selbst ein
  4190.     Backup mit der Extension '.vir' (z.B. VIRUS.VIR) und desinfiziert die
  4191.     .EXE-Datei.
  4192.  
  4193.  
  4194.      +-----------------------------------------------------------------+
  4195.      |  Thunderbyte clean utility v6.03 (C) 1992-93 Thunderbyte B.V.   |
  4196.      +---------Infected state----------++---------Original state-------+
  4197.      | Entry point (CS:IP)   34BF:0012 || Entry point (CS:IP) 34BF:0012|
  4198.      | File length                     || File length         UNKNOWN! |
  4199.      | Cryptographic CRC     9F90F52A  || Cryptographic CRC   UNKNOWN! |
  4200.      +---------------------------------++------------------------------+
  4201.      |                                                                 |
  4202.      | Starting clean attempt. Analyzing infected file...              |
  4203.      | Anti-Vir not found: original state unknown. Trying emulation... |
  4204.      | Emulation terminated:                                           |
  4205.      |                                                                 |
  4206.      | C:\VIRUS\TEST.EXE                                               |
  4207.      | CS:IP    Instruction     AX  BX  CX  DX  DS  SI  ES  DI  SS  SP |
  4208.      | 9330:0101  mov ah,40    FFFE9330FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4209.      | 9330:0103  mov bx,0002  40FE9330FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4210.      | 9330:0106  mov cx,0016  40FE0002FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4211.      | 9330:0109  mov dx,cs    40FE00020016EFFFD382FFEDEFFEFFFF9520007E|
  4212.      | 9330:010B  mov ds,dx    40FE000200169330D382FFEDEFFEFFFF9520007E|
  4213.      | 9330:010D  mov dx,0117  40FE0002001693309330FFEDEFFEFFFF9520007E|
  4214.      | 9330:0110  int 21       40FE0002001601179330FFEDEFFEFFFF9520007E|
  4215.      | 9330:0112  mov ax,4CFF  40FE0002001601179330FFEDEFFEFFFF9520007E|
  4216.      | 9330:0115  int 21       4CFF0002001601179330FFEDEFFEFFFF9520007E|
  4217.      | 9330:0115  <End of emulation>                                   |
  4218.      +-----------------------------------------------------------------+ 
  4219.  
  4220.      Während der Virenbeseitigung 
  4221.  
  4222.      TbClean zeigt soviel Informationen wie möglich über die momentan ab-
  4223.      laufende Operation, so wie oben abgebildet. Alle wichtigen Aktionen
  4224.      werden im Emulationsfenster angezeigt, eine Disassemblierung und die
  4225.      Registerinhalte des Programms, das sich in Arbeit findet zusammen mit
  4226.      einem Bericht wie weit das Verfahren ist. Das Status-Fenster zeigt
  4227.      nützliche Detailinformationen der infizierten Datei und - falls TbClean
  4228.      eine entsprechende Anti-Vir.Dat-Datei findet - deren Originalzustand.
  4229.      Sie können den Desinfizierungs-Vorgang durch Drücken von <Strg-Pause>
  4230.      (= <Ctrl-Break>) abbrechen.
  4231.  
  4232.  
  4233.      Die Arbeit ist noch nicht ganz erledigt
  4234.  
  4235.      Eine erfolgreiche Säuberung ist nicht das Ende der Geschichte! Ihre Ar-
  4236.      beit ist erst teilweise getan. Einige Viren beschädigen Datendateien.
  4237.      Sie können zufällig Bytes auf Ihrer Disk ändern, Sektoren vertauschen
  4238.      oder andere üble Tricks anwenden. Ein Clean-Utility kann niemals Ihre
  4239.  
  4240.                                      III - 32
  4241.  
  4242.  
  4243. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4244.  
  4245.  
  4246.     Daten reparieren! Überprüfen Sie Ihre Daten genauestens und ziehen Sie
  4247.     einen Virenexperten zu Rate, um herauszufinden, wozu der Virus über-
  4248.     haupt in der Lage war. Sollten irgendwelche Zweifel bestehen, ist ein
  4249.     Wiederherstellen der Daten die angemessenste Option.
  4250.  
  4251. =>  Unter keinen Umständen sollten Sie mit desinfizierter Software weiter-
  4252.     arbeiten!
  4253.  
  4254.     Desinfizieren ist eine vorübergehende Lösung, um es Ihnen zu ermögli-
  4255.     chen, eine umfassende Wiederherstellung auf den ersten verfügbaren
  4256.     Zeitraum zu verschieben, in dem keine alltäglichen Arbeitsabläufe un-
  4257.     terbrochen werden müssen (z.B. am Wochenende). Sie sollten sich nicht
  4258.     längere Zeit auf ein desinfiziertes Programm verlassen. Verstehen Sie
  4259.     dies bitte nicht als Abwertung von Virenbeseitigungs-Unternehmen. Wenn
  4260.     Ihnen Ihre Daten etwas wert sind, sollten Sie für diese so gut als mög-
  4261.     lich Sorge tragen. Sich einzig auf Original-Software zu verlassen, ist
  4262.     hierbei nichts anderes als eine elementare Vorkehrung. Mit anderen Wor-
  4263.     ten: Installieren Sie die Original-Programme sobald als möglich!
  4264.      
  4265.  
  4266.     Grenzen der Virenbeseitigung
  4267.  
  4268.     Obwohl TbClean eine hohe Erfolgsrate aufweisen kann und Programme
  4269.     desinfiziert, die andere Anti-Viren-Programme nicht einmal bearbeiten,
  4270.     können dennoch nicht alle Viren gelöscht und nicht alle Dateien
  4271.     desinfiziert werden.
  4272.  
  4273.     Viren, die aus einer infizierten Datei nicht gelöscht werden können:
  4274.  
  4275.     Überschreibende Viren.
  4276.  
  4277.     Überschreibende Viren hängen sich selbst nicht am Ende des Original-
  4278.     programms an, sondern kopieren sich über die Originaldatei. Diese
  4279.     Viren versuchen nicht, das Originalprogramm aufzurufen und danach
  4280.     einfach auf die DOS-Ebene zurückzukehren. Diese Viren verursachen
  4281.     normalerweise einen Systemabsturz oder springen zur DOS-Ebene zurück.
  4282.     Da die Originaldatei überschrieben und beschädigt wurde, kann kein
  4283.     Anti-Viren-Programm diesen Virus löschen.
  4284.  
  4285.     Einige verschlüsselte Viren.
  4286.  
  4287.     Normalerweise entschlüsselt TbClean den Virus. Manche Viren arbeiten
  4288.     jedoch mit Anti-Debugger-Fähigkeiten, mit denen TbClean bis jetzt
  4289.     noch nicht fertig wird.
  4290.  
  4291.     Programme, die aufgrund Ihrer besonderen Konstruktion nicht desinfiziert
  4292.     werden können:
  4293.  
  4294.     EXE-Programme mit internen Overlays.
  4295.  
  4296.     TbScan schreibt hinter diese Programme ein 'i'. Diese Programme können
  4297.     nicht infiziert werden, ohne dabei beschädigt zu werden. Einige Viren
  4298.     erkennen dies und infizieren sie daher nicht. Die meisten Viren infi-
  4299.     zieren diese Programme jedoch und beschädigen dabei die Datei endgültig.
  4300.  
  4301.  
  4302.                                      III - 33
  4303.  
  4304.  
  4305. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4306.  
  4307.  
  4308.     Einen solchen Schaden kann kein Anti-Viren-Programm beheben.
  4309.  
  4310.     Programme mit Selbsttest-Routinen.
  4311.  
  4312.     Manche Programme - meist Anti-Viren-Software oder kopiergeschützte
  4313.     Programme - führen eine Art Selbstkontrolle durch. Die heuristische
  4314.     Virenbeseitigung in einer infizierten Datei führt normalerweise dazu,
  4315.     daß das desinfizierte Programm mit dem Originalprogramm nicht mehr
  4316.     vollständig identisch ist. Obwohl der Virus aus der Datei gelöscht
  4317.     wurde, und das desinfizierte Programm mit dem Originalprogramm
  4318.     funktionell identisch ist, wird eine Selbstkontrolle diese Ver-
  4319.     änderungen (die Bytes, die dem Programm hinzugefügt wurden oder den
  4320.     etwas veränderten Stack) normalerweise entdecken.
  4321.  
  4322.     Virenbeseitigung in mehreren Dateien
  4323.  
  4324.     TbClean wurde mit keinen Vorkehrungen ausgestattet, um mehrere Programme
  4325.     in einem Durchlauf von Viren zu befreien. Hierfür gibt es zwei Gründe:
  4326.  
  4327.     -   TbClean kann nicht automatisch nach Viren suchen, da es keine Viren
  4328.         kennt.
  4329.  
  4330.     -   Wir empfehlen Ihnen dringend, Ihren Computer Datei für Datei von
  4331.         einem Virus zu befreien. Beseitigen Sie zuerst die Viren der einen
  4332.         Datei, überprüfen Sie dann das Ergebnis und beseitigen Sie erst da-
  4333.         nach den Virus der nächsten Datei. Dadurch können Sie den Überblick
  4334.         darüber behalten, welche Dateien wiederhergestellt wurden, welche
  4335.         zerstört wurden und von einer Sicherheitskopie wieder hergestellt
  4336.         werden müssen und welche Dateien noch von Viren befallen sind.
  4337.  
  4338.  
  4339.  
  4340.  
  4341.  
  4342.  
  4343.  
  4344.  
  4345.  
  4346.  
  4347.  
  4348.  
  4349.  
  4350.  
  4351.  
  4352.  
  4353.  
  4354.  
  4355.  
  4356.  
  4357.  
  4358.  
  4359.  
  4360.  
  4361.  
  4362.  
  4363.                                      III - 34
  4364.  
  4365.  
  4366. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4367.  
  4368.  
  4369. 5. Fortlaufende Viren-Prävention: TbMon
  4370.  
  4371.      Der Zweck der TbMon-Utilities
  4372.  
  4373.      TbMon ist ein Set, bestehend aus drei speicherresidenten Anti-Viren-
  4374.      Utilities:
  4375.  
  4376.      TbMem     entdeckt den Versuch von Programmen, im Speicher resident
  4377.                zu werden und stellt sicher, daß sich kein Programm ohne
  4378.                Erlaubnis im Speicher festsetzt.
  4379.  
  4380.      TbFile    entdeckt den Versuch von Programmen, andere Programme zu
  4381.                infizieren.
  4382.  
  4383.      TbDisk    entdeckt den Versuch von Programmen, direkt auf Datenträger zu
  4384.                schreiben (unter Umgehung von DOS), Formatierversuche, etc.
  4385.  
  4386.  
  4387.      Anleitungen, wie Sie diese Utilities einsetzen können, sind im folgenden
  4388.      aufgeführt.
  4389.  
  4390.  
  4391.      Benutzung des TbMon-Programms
  4392.  
  4393.      Laden der TBMon-Programme
  4394.      Die TbMon-Programme werden alle auf dieselbe Weise geladen. Für spezi-
  4395.      fische Informationen zu jedem Einzelprogramm, wie etwa Startoptionen,
  4396.      schlagen Sie bitte im entsprechenden Kapitel nach.
  4397.  
  4398.  
  4399.      Es gibt drei verschiedene Möglichkeiten, die TbMon-Programme zu starten:
  4400.  
  4401.      Von der DOS-Befehlszeile oder der Autoexec.Bat-Datei:
  4402.           <Pfad>Tbxx
  4403.  
  4404.      Von der Config.Sys aus als TSR (ab Dos 4.0):
  4405.           Install=<Pfad>Tbxxx.Exe
  4406.  
  4407.      Der "Install="-Befehl in der Config.Sys ist in den DOS-Versionen 3.xx
  4408.      NICHT verfügbar.
  4409.  
  4410.      Um ein TbMon-Programm von der Config.Sys aus als Gerätetreiber zu
  4411.      installieren:
  4412.           Device=<Pfad>Tbxxx.Exe
  4413.  
  4414.  
  4415.      Das Ausführen von TbMon-Programmen als Gerätetreiber, funktioniert nicht
  4416.      in allen OEM-Versionen von DOS. Sollte es also nicht richtig arbeiten,
  4417.      verwenden Sie den "install='-Befehl oder laden Sie das Programm von der
  4418.      Autoexec.Bat aus.
  4419.  
  4420.      Ein TbMon-Programm sollte immer richtig arbeiten, wenn es von der Auto-
  4421.      exec.Bat gestartet wird. Anders als andere Anti-Viren-Programme können
  4422.      die Thunderbyte Anti-Viren-Programme geladen werden, bevor das Netzwerk
  4423.      gestartet wird, ohne den Schutz vor Viren im Netzwerk zu verlieren.
  4424.  
  4425.                                      III - 35
  4426.  
  4427.  
  4428. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4429.  
  4430.  
  4431.      Hochladen von TBMon-Programmen
  4432.  
  4433.      Zusätzlich zu den drei oben genannten Aufruf-Möglichkeiten, können An-
  4434.      wender, die DOS 5.0 (oder höher) verwenden, TbMon-Programme in den UMB
  4435.      (Upper Memory Block) "hochladen", sofern dieser vorhanden ist.
  4436.  
  4437.  
  4438.           LoadHigh <Pfad>Tbxxx.Exe
  4439.  
  4440.  
  4441.      Von der Config.Sys aus kann ein TbMon-Programm ebenfalls hochgeladen
  4442.      werden:
  4443.  
  4444.           DeviceHigh=<Pfad>Tbxxx.Exe
  4445.  
  4446.  
  4447.      TBMon und MS-Windows
  4448.  
  4449.      Benutzer von MS-Windows sollten ein TbMon-Programm starten, bevor
  4450.      Windows aufgerufen wird. In diesem Fall befindet sich das TbMon-Pro-
  4451.      gramm nur einmal im Speicher, aber jedes DOS-Fenster hat trotzdem den
  4452.      vollen Nutzen des Programms. Das TbMon-Programm stellt den Start von
  4453.      Windows fest und schaltet sich, wenn nötig, in einen speziellen Multi-
  4454.      tasking-Modus. In einem DOS-Fenster kann das TbMon-Programm abgeschaltet
  4455.      werden, ohne die Funktion des Programms in den anderen DOS-Fenstern zu
  4456.      beeinflussen.
  4457.  
  4458.  
  4459.      Startoptionen
  4460.  
  4461.      Alle TbMon-Utilities können mit verschiedenen Optionen eingesetzt wer-
  4462.      den. Die unten aufgelisteten Optionen können bei allen drei Utilities
  4463.      eingesetzt werden. Die jeweils spezifischen Optionen finden Sie in den
  4464.      entsprechenden Kapiteln.
  4465.  
  4466.      help (?)
  4467.      Mit dieser Option zeigt Ihnen das TbMon-Programm eine Optionen-Liste an.
  4468.  
  4469.      off (d)
  4470.      Deaktiviert das TbMon-Programm, dieses verbleibt aber im Speicher und
  4471.      kann wieder reaktiviert werden.
  4472.  
  4473.      on (e)
  4474.      Das TbMon-Programm kann damit wieder aktiviert werden, nachdem es mit
  4475.      der 'off'-Option abgeschaltet wurde.
  4476.  
  4477.      remove (r)
  4478.      Wurde ein TbMon-Programm bereits speicherresident geladen, so kann es
  4479.      durch seinen nochmaligen Aufruf mit der Option remove (abgekürzt "r")
  4480.      wieder aus dem Speicher entfernt werden. Wurden andere ähnliche spei-
  4481.      cherresidente Programme nach dem TbMon-Programm geladen, so würde die
  4482.      Entfernung des Programms aus dem Speicher große Probleme verursachen.
  4483.      Die TbMon-Programme erkennen dies und umgehen solche Probleme, indem
  4484.      sie sich in diesem Fall nicht aus dem Speicher entfernen, sondern nur
  4485.      komplett abschalten.
  4486.  
  4487.                                      III - 36
  4488.  
  4489.  
  4490. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4491.  
  4492.  
  4493. 5.1. TbMem
  4494.  
  4495.     Der Zweck von TbMem
  4496.  
  4497.     Die meisten Viren bleiben resident im Speicher, nachdem sie einmal
  4498.     aktiviert wurden. Während sie speicherresident geladen sind, können
  4499.     sie unbemerkt andere Programme infizieren, Operationen des Systems
  4500.     stören, sich selbst vor Virenscannern oder Prüfsummenprogrammen ver-
  4501.     stecken und gleichzeitig auch noch andere üble Dinge anstellen.
  4502.  
  4503.     Auf der anderen Seite sind viele Viren leicht zu entdecken, indem man
  4504.     den Vorgang des Residentwerdens im Speicher überwacht.
  4505.  
  4506.     TbMem überwacht das System und stellt sicher, daß kein Programm
  4507.     unerlaubt resident im Speicher bleibt! Damit zieht jedes Programm
  4508.     die Aufmerksamkeit auf sich, wenn es speicherresident bleiben will.
  4509.     Die Wahrscheinlichkeit, daß ein Virus unentdeckt bleibt, wird hier-
  4510.     durch deutlich verringert. TbMem schützt auch den Inhalt des CMOS-
  4511.     Konfigurationsspeichers.
  4512.  
  4513.  
  4514.     Was ist ein speicherresidentes Programm?
  4515.  
  4516.     Die meisten Programme werden von der DOS-Befehlszeile aus aufgerufen,
  4517.     um irgendeine Tätigkeit auszuführen. Nach Beendigung des Programms
  4518.     befinden Sie sich wieder da, wo Sie begonnen haben: auf der Befehlszeile.
  4519.  
  4520.     Einige Programme arbeiten allerdings weiter, nachdem sie beendet wurden.
  4521.     Diese Programme laden sich in den Speicher ihres PCs, bleiben resident
  4522.     im Speicher, um im Hintergrund der anderen Programme bestimmte Dinge
  4523.     zu erledigen. Beispiele dafür sind schnelle Festplatten- und Disketten-
  4524.     zwischenspeicher-Programme, Drucker-Spooler zum Beschleunigen des
  4525.     Druckens, Netzwerksoftware usw. Diese Programme werden häufig kurz als
  4526.     'TSR'-Programme bezeichnet, was 'Terminate-and-Stay-Resident', also
  4527.     'Beendet-und-speicherresident-bleibend' bedeutet.
  4528.  
  4529.     Die meisten Viren bleiben ebenfalls speicherresident, und das ist der
  4530.     Grund, warum der Vorgang des Speicherresidentwerdens in irgendeiner
  4531.     Weise kontrolliert werden sollte, vorzugsweise mit TbMem.
  4532.  
  4533.     TbMem gibt Ihnen die Möglichkeit, ein Programm zu unterbrechen, bevor
  4534.     es resident werden kann. TbMem überwacht den Aufruf von DOS-TSR-Funk-
  4535.     tionen und beobachtet wichtige Interrupt-Aufrufe und Speicherstrukturen.
  4536.     TbMem benutzt die Aufzeichnungen in der Datei Anti-Vir.Dat, um zu ent-
  4537.     scheiden, ob ein Programm resident im Speicher bleiben darf.
  4538.  
  4539.     Dabei werden viele übliche speicherresidente Programme von TbSetup
  4540.     erkannt. Falls TbSetup ein solches TSR-Programm nicht erkannt hat, so
  4541.     fragt TbMem nach Ihrer Erlaubnis, ob dieses Programm speicherresident
  4542.     werden darf. Diese Information wird in der Datei anti-vir.dat gespei-
  4543.     chert, um Sie davor zu bewahren, daß TbMem Sie jedesmal plagt, wenn
  4544.     ein bereits genehmigtes Programm erneut als TSR im Speicher bleiben will.
  4545.  
  4546.  
  4547.                                      III - 37
  4548.  
  4549.  
  4550. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4551.  
  4552.  
  4553.     TbMem überprüft nach jedem Programmende den CMOS-Speicher, und gibt
  4554.     Ihnen die Möglichkeit, die CMOS-Informationen wieder herzustellen, wenn
  4555.     sie verändert wurden. Wenn Sie TbMem einmal beigebracht haben, welche
  4556.     Programme als TSR-Programme auf einem Computer erlaubt sind, können Sie
  4557.     TbSetup verwenden, um diesen Programmen auf anderen Computern in der
  4558.     Datei Anti-Vir.Dat ebenfalls die  Erlaubnisinformation zu erteilen.
  4559.  
  4560.  
  4561.     TbMem installiert einen 'hot key', also eine besondere Tastenkombina-
  4562.     tion, mit der Sie aus nahezu jedem Programm herauskommen können.
  4563.  
  4564.     TbMem is vollständig netzwerkkompatibel. Sie sind nicht gezwungen,
  4565.     das Programm nach dem Einloggen ins Netz noch einmal zu starten.
  4566.  
  4567.  
  4568.      Benutzung von TbMem
  4569.  
  4570.      Da TbMem ein speicherresidentes Programm ist, kann es von der DOS-
  4571.      Befehlszeile oder aus einer Batch-Datei heraus gestartet werden.
  4572.      TbMem sollte auf jeden Fall automatisch aufgerufen werden, sobald der
  4573.      Computer gebootet wird - vorzugsweise also bei der Ausführung der
  4574.      Config.Sys- oder der Autoexec.Bat-Datei.
  4575.  
  4576. =>  Stellen Sie sicher das TbDriver bereits geladen ist - TbCheck kann sonst
  4577.     nicht gestartet werden.
  4578.  
  4579.  
  4580.     Startoptionen
  4581.  
  4582.     In der Befehlszeile können beim Programmaufruf Optionen angegeben
  4583.     werden. Die ersten vier im folgenden erklärten Optionen sind jederzeit
  4584.     verfügbar, die anderen Optionen können nur beim ersten Aufruf angegeben
  4585.     werden, wenn TbMem noch nicht speicherresident geladen ist.
  4586.  
  4587.     Option  Parameter   Abk. Erklärung
  4588.     ------  ---------   ---- ----------------------------
  4589.  
  4590.      help                ?  =Zeigt Hilfetext
  4591.      off                 d  =Schaltet Überprüfung ab
  4592.      on                  e  =Schaltet Überprüfung an
  4593.      remove              r  =Entfernt TbMem aus dem Speicher
  4594.  
  4595.      secure              s  =Nicht zugelassene TSR nicht ausführen
  4596.      keycode =<keycode>  k  =Gibt Tastatur-Scancode für den Hotkey an
  4597.      nocancel            n  =Programmbeendigungs-Hotkey nicht installieren
  4598.      nocmos              m  =CMOS-Speicher nicht überwachen
  4599.  
  4600.  
  4601.      help (?)
  4602.      Mit dieser Option zeigt TbMem die oben abgebildete Optionen-Liste an.
  4603.  
  4604.      off (d)
  4605.      Deaktiviert TbMem, das Programm verbleibt aber im Speicher und kann
  4606.      wieder reaktiviert werden.
  4607.  
  4608.  
  4609.                                      III - 38
  4610.  
  4611.  
  4612. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4613.  
  4614.  
  4615.     on (e)
  4616.     TbMem kann damit wieder aktiviert werden, nachdem es mit der 'off'-
  4617.     Option abgeschaltet wurde.
  4618.  
  4619.     remove (r)
  4620.     Wurde TbMem bereits speicherresident geladen, so kann es durch den
  4621.     Aufruf von TbMem mit der Option remove (abgekürzt "r") wieder aus dem
  4622.     Speicher entfernt werden. Wurden andere ähnliche speicherresidente Pro-
  4623.     gramme nach TbMem geladen, so würde die Entfernung des Programms aus
  4624.     dem Speicher große Probleme verursachen. TbMem erkennt dies und um-
  4625.     geht diese Probleme, indem es sich in diesem Fall nicht aus dem Speicher
  4626.     entfernt, sondern nur abschaltet.
  4627.  
  4628.     secure (s)
  4629.     TbMem fragt normalerweise den Benutzer, ob der Vorgang, wenn ein
  4630.     Programm resident im Speicher bleiben will, fortgesetzt werden darf
  4631.     oder abgebrochen werden soll. In manchen beruflichen Umgebungen sollten
  4632.     solche Fragen nicht von Angestellten beantwortet werden. Durch Ver-
  4633.     wendung der Option secure (abgekürzt "s") ist es nicht länger möglich,
  4634.     neue oder unbekannte Programme ausführen zu lassen.
  4635.  
  4636.     hotkey (k)
  4637.     Der Hotkey, um die Ausführung eines beliebigen Programmes abbrechen zu
  4638.     lassen, ist die Tastenkombination Strg-Alt-Einfg. Wenn Sie wollen,
  4639.     können Sie eine andere Tastenkombination für diese Aufgabe verwenden.
  4640.     Sie verwenden dazu die Option 'hotkey =<keycode>'. Dabei ist 'keycode'
  4641.     der Tastatur-Scancode, in vierziffriger hexadezimaler Angabe. Das linke
  4642.     Byte gibt den Status der Shift-Tasten, der Alt-, Ctrl-, Num-, Rollen-
  4643.     und der Einfg-Taste an, während das rechte Byte den Scancode der ge-
  4644.     drückten normalen Taste angibt. Ziehen Sie für weitere Informationen
  4645.     Ihre Computerhandbücher zu Rate. Der vorgegebene Wert ist 0C52h (Strg-
  4646.     -Alt-Einfg). Die Tastenkombination Strg-Alt-Esc hat den Wert 0C01h.
  4647.  
  4648.     nocancel (n)
  4649.     TbMem verwendet normalerweise den Programmbeendigungs-Hotkey (Strg-
  4650.     Alt-Einfg). Verwenden Sie die Option 'nocancel' (abgekürzt "n"), wenn
  4651.     Sie keinen Hotkey verwenden wollen. Der Speicherbedarf von TbMem wird
  4652.     dadurch etwas verringert.
  4653.  
  4654.     nocmos (m)
  4655.     TbMem schützt normalerweise den CMOS-Speicher, sofern vorhanden. Wenn
  4656.     Sie diesen Schutz nicht verwenden möchten, geben Sie diese Option an.
  4657.  
  4658.  
  4659.     Beispiele:
  4660.  
  4661.           C:\utils\TbMem
  4662.     oder:
  4663.           Device=C:\utils\TbMem.Exe
  4664.  
  4665.  
  4666.  
  4667.  
  4668.  
  4669.                                      III - 39
  4670.  
  4671.  
  4672. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4673.  
  4674.  
  4675.     Arbeitsweise von TbMem 
  4676.  
  4677.     Wenn TbMem den Versuch eines Programmes entdeckt, speicherresident zu
  4678.     werden, wird eine Meldung in Ihrer Sprache am Bildschirm angezeigt, die
  4679.     Sie hierüber informiert. Sie können die Fortsetzung des Vorgangs erlauben
  4680.     oder das Programm sofort abbrechen lassen.
  4681.  
  4682.     Wenn Sie auf die Frage 'Aus dem Speicher entfernen?' mit 'NO' antworten,
  4683.     fährt das Programm ungestört fort, und TbMem speichert die Information,
  4684.     daß das Programm speicherresident werden darf, in der Datei anti-vir.dat
  4685.     ab. TbMem wird Sie beim nächsten Aufruf dieses Programms dann nicht mehr
  4686.     stören.
  4687.  
  4688.     Es gibt eine ganze Menge von speicherresidenten Programmen, wie z. B.
  4689.     Cache-Programme, Drucker-Spooler usw. Wie unterscheidet TbMem diese
  4690.     von Viren?
  4691.  
  4692.     TbMem verwendet die Informationen der von TbSetup erzeugten Datei
  4693.     anti-vir.dat, um zu unterscheiden, ob ein TSR-Programm normal ist
  4694.     oder nicht. Die meisten üblichen residenten Programme werden von TbSetup
  4695.     als normal erkannt und als solche in der Datei anti-vir.dat gekenn-
  4696.     zeichnet, so daß Sie sich nicht um diese Programme kümmern müssen.
  4697.  
  4698.     Wenn TbMem eine Meldung anzeigt, daß ein Programm versucht resident
  4699.     im Speicher zu bleiben, müssen Sie sich klar werden, was die Aufgabe
  4700.     des aufgerufenen Programms ist. Soll das Programm irgendwelche Arbeiten
  4701.     im Hintergrund durchführen? Dies ist offensichtlich richtig, wenn das
  4702.     Programm ein Cache-Programm, ein Drucker-Spooler, ein auf Tasten-
  4703.     druck aktivierbares Hintergrundhilfsprogramm oder etwa ein Programm
  4704.     zur Erweiterung von Systemfunktionen ist.
  4705.  
  4706.     Erscheint diese Meldung hingegen, nachdem Sie mit Ihrer Textverarbei-
  4707.     tung gearbeitet haben, oder ein Datenbank- oder ein Tabellenkalkula-
  4708.     tionsprogramm beendet haben, dann ist das äußerst verdächtig! Verhindern
  4709.     Sie den Vorgang und überprüfen Sie Ihren Computer mit einem Virenscanner.
  4710.  
  4711.     Das gleiche gilt, wenn ein Programm, das normalerweise nicht speicher-
  4712.     resident arbeitet, plötzlich sein Verhalten ändert, und versucht, im
  4713.     Speicher zu bleiben.
  4714.  
  4715.  
  4716. 5.2. TbFile
  4717.  
  4718.     Der Zweck von TbFile
  4719.  
  4720.     Es gibt verschiedene Kategorien von Viren. Die zwei wichtigsten sind
  4721.     die Bootsektorviren und die Dateiviren. Den Dateiviren ist gemeinsam, daß
  4722.     Sie Programme infizieren. Das Infizieren von Programmen ist eine ganz
  4723.     spezielle Operation, die sich von anderen Zugriffen auf Dateien unter-
  4724.     scheidet, und dadurch ist es möglich diesen Vorgang zu entdecken.
  4725.  
  4726.     TbFile überwacht das System und entdeckt die Versuche eines Programms,
  4727.     ein anderes zu infizieren. Anders als andere Dateiwächter überwacht
  4728.     TbFile nur virenspezifische Dateiveränderungen. TbFile verursacht keinen
  4729.     Alarm, wenn ein Programm seine eigene Datei verändert, um Konfigurations-
  4730.  
  4731.                                      III - 40
  4732.  
  4733.  
  4734. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4735.  
  4736.  
  4737.     Daten zu ändern. Auch meldet es nicht, wenn ein Programm durch eine neue
  4738.     Version ersetzt wird, wenn Sie selbst Programme schreiben. In einem
  4739.     normalen System werden Sie nie einen falschen Alarm erhalten!
  4740.  
  4741.     TbFile stellt nicht nur Infektionsversuche fest, sondern läßt
  4742.     Sie den Infektionsvorgang unterbrechen und das Programm fortsetzen.
  4743.  
  4744.     TbFile stellt auch andere verdächtige Vorgänge fest, wie zum Beispiel
  4745.     das Verändern der Sekunden auf einen unerlaubten Wert.
  4746.  
  4747.     TbFile hat einen sehr hochentwickelten Mechanismus, um Infektionen
  4748.     festzustellen und schlägt deshalb beim Ausführen von standardmäßigen
  4749.     Dateizugriffen keinen falschen Alarm. In normalen Konfigurationen
  4750.     wird nie ein falscher Alarm gemeldet werden!
  4751.  
  4752.     Dateien können gegen unbeabsichtigte Veränderungen mit Hilfe des
  4753.     Dateiattributs Read-Only geschützt werden. Ohne TbFile kann dieser
  4754.     DOS-Standardschutz leicht umgangen werden. TbFile dagegen sorgt
  4755.     dafür, daß ein Versuch, das Read-Only-Attribut zu sabotieren, nicht
  4756.     unbemerkt bleibt. Dies gibt Ihnen eine zusätzliche Sicherheit, indem
  4757.     Sie eine unkomplizierte Methode anwenden, die Ihre Dateien voll-
  4758.     ständig gegen Zerstörung und Infektion schützt.
  4759.  
  4760.     TbFile is vollständig netzwerkkompatibel. Sie sind nicht gezwungen,
  4761.     das Programm nach dem Einloggen ins Netz noch einmal zu starten.
  4762.     Andere speicherresidente Anti-Virus-Programme lassen dem Anwender die
  4763.     Wahl zwischen dem Virenschutz bevor das Netzwerk gestartet wurde,
  4764.     oder nachdem das Netzwerk gestartet wurde. Beides ist nicht möglich.
  4765.  
  4766.  
  4767.  
  4768.     Startoptionen
  4769.  
  4770.     In der Befehlszeile können beim Programmaufruf Optionen angegeben
  4771.     werden. Die ersten vier im folgenden erklärten Optionen sind jederzeit
  4772.     verfügbar, die anderen Optionen können nur beim ersten Aufruf angegeben
  4773.     werden, wenn TbFile noch nicht speicherresident geladen ist.
  4774.  
  4775.      Option      Abk. Erklärung
  4776.      ------      ---- ----------------------------
  4777.      help        ?    =Zeigt Hilfetext
  4778.      off         d    =Schaltet Überprüfung ab
  4779.      on          e    =Schaltet Überprüfung an
  4780.      remove      r    =Entfernt TbFile aus dem Speicher
  4781.  
  4782.      secure      s    =Genehmigungen nicht gestatten
  4783.      allattrib   a    =Überprüfung aller Read-Only-geschützten Dateien
  4784.  
  4785.      help (?)
  4786.      Mit dieser Option zeigt TbFile die oben abgebildete Optionen-Liste an.
  4787.  
  4788.      off (d)
  4789.      Deaktiviert TbFile, das Programm verbleibt aber im Speicher und kann
  4790.      wieder reaktiviert werden.
  4791.  
  4792.  
  4793.                                      III - 41
  4794.  
  4795.  
  4796. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4797.  
  4798.  
  4799.     on (e)
  4800.     TbFile kann damit wieder aktiviert werden, nachdem es mit der 'off'-
  4801.     Option abgeschaltet wurde.
  4802.  
  4803.     remove (r)
  4804.     Wurde TbFile bereits speicherresident geladen, so kann es durch den
  4805.     Aufruf von TbFile mit der Option remove (abgekürzt "r") wieder aus dem
  4806.     Speicher entfernt werden. Wurden andere ähnliche speicherresidente Pro-
  4807.     gramme nach TbFile geladen, so würde die Entfernung des Programms aus
  4808.     dem Speicher große Probleme verursachen. TbFile erkennt dies und um-
  4809.     geht diese Probleme, indem es sich in diesem Fall nicht aus dem Speicher
  4810.     entfernt, sondern nur abschaltet.
  4811.  
  4812.     secure (s)
  4813.     TbFile fragt normalerweise den Benutzer, ob verdächtige Aktionen
  4814.     fortgesetzt werden dürfen oder abgebrochen werden sollen. In manchen
  4815.     beruflichen Umgebungen sollten solche Fragen nicht von Angestellten
  4816.     beantwortet werden. Durch Verwendung der Option secure (abgekürzt "s")
  4817.     ist es nicht länger möglich, verdächtige Operationen fortführen zu
  4818.     lassen.
  4819.  
  4820.     allattrib (a)
  4821.     TbFile schützt normalerweise nur die Read-Only-Attribute von aus-
  4822.     führbaren Dateien (Programmdateien mit der Erweiterung .com oder .exe).
  4823.     Wenn Sie die Read-Only-Attribute von allen Dateien überwachen lassen
  4824.     wollen, müssen Sie die Option allattrib (abgekürzt mit "a") verwenden.
  4825.     In diesem Fall werden Sie alarmiert, wenn ein Read-Only-Attribut von
  4826.     irgendeiner Datei entfernt werden soll.
  4827.  
  4828.     Beispiele:
  4829.           C:\utils\TbFile allattrib
  4830.     oder:
  4831.           Device=C:\utils\TbFile.Exe allattrib
  4832.  
  4833.  
  4834.  
  4835. 5.3. TbDisk
  4836.  
  4837.     Der Zweck von TbDisk
  4838.  
  4839.     Viele Viren versuchen Daten auf Laufwerken zu zerstören. Dies er-
  4840.     reichen Sie, indem sie beispielsweise die FAT überschreiben oder
  4841.     Sektoren vertauschen. Fast alles ist möglich.
  4842.  
  4843.     Es gibt eine heimtückische Programmsorte die als 'bootsector virus
  4844.     droppers' ('dropper' = 'Schlepper') bezeichnet werden und Bootsektorvi-
  4845.     ren auf Disketten installieren. Diese Programme sind selbst keine Viren,
  4846.     sie installieren nur einen Virus. Eben deshalb ist es für Virenscanner
  4847.     schwer, sie zu entdecken. Die einzige Möglichkeit, ist die Überwachung
  4848.     ihres Verhaltens.
  4849.  
  4850.     Keines dieser Programme verwendet für seine Schreibversuche DOS-
  4851.     Funktionen, sondern benutzt für seinen Zugriff direkte Aufrufe von
  4852.     BIOS-Funktionen, unter Umgehung von DOS.
  4853.  
  4854.     TbDisk überwacht das System und stellt sicher, daß kein Programm
  4855.  
  4856.                                      III - 42
  4857.  
  4858.  
  4859. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4860.  
  4861.  
  4862.     ohne Erlaubnis direkt auf die Laufwerke schreiben darf. Damit
  4863.     wird auf alle Programme aufmerksam gemacht, die direkt auf die
  4864.     Laufwerke schreiben wollen. Die Wahrscheinlichkeit, daß ein Virus
  4865.     unentdeckt bleibt, wird hierdurch reduziert. Ebenso können Viren
  4866.     daran gehindert werden, Daten zu zerstören. Die "bootsector virus
  4867.     droppers" können entdeckt werden.
  4868.  
  4869.     Außerdem kann TbDisk dazu eingesetzt werden, Festplatten vor Schreib-
  4870.     zugriffen zu schützen. Das kann nützlich für Sie sein, wenn Sie neue
  4871.     Programme ausprobieren wollen.
  4872.  
  4873.     TbDisk informiert Sie nicht nur über Versuche von Programmen, auf
  4874.     die Laufwerke direkt zuzugreifen, sondern läßt Sie den Vorgang
  4875.     auch abbrechen, bevor Schaden angerichtet werden kann.
  4876.  
  4877.     TbDisk entdeckt auch 'stealth'-Techniken. TbDisk stellt Versuche
  4878.     fest, in einzelnen Schritten auf den BIOS-Handler zuzugreifen. Es
  4879.     zeigt ebenfalls die Verwendung undokumentierter Aufrufe an, die
  4880.     Schäden auf den Datenträgern anrichten können. 
  4881.  
  4882.     TbDisk ist in der Lage, direkte Schreibzugriffe über Aufrufe des
  4883.     Interrupt 13h festzustellen. Um dies zu erreichen, muß zwischen
  4884.     DOS und Anwendersoftware unterschieden werden, da es DOS erlaubt
  4885.     ist, zu schreiben, und anderer Software normalerweise nicht. 
  4886.  
  4887.     TbDisk benutzt die Aufzeichnungen in der Datei anti-vir.dat, um zu 
  4888.     entscheiden, ob ein Programm direkt auf die Laufwerke zuzugreifen darf.
  4889.     Viele übliche Hilfsprogramme für die Dateiverwaltung werden von TbSetup
  4890.     erkannt. Falls TbSetup ein solches Programm nicht erkannt hat, so fragt
  4891.     TbDisk nach Ihrer Erlaubnis, ob dieses Programm direkt auf die Laufwerke
  4892.     zugreifen darf. Diese Information wird in der Datei anti-vir.dat gespei-
  4893.     chert. TbDisk wird Sie beim nächsten Aufruf des betreffenden Programmes
  4894.     nicht mehr unnötig warnen.
  4895.  
  4896.     TbDisk is vollständig netzwerkkompatibel. Sie sind nicht gezwungen,
  4897.     das Programm nach dem Einloggen ins Netz noch einmal zu starten.
  4898.     Andere speicherresidente Anti-Virus-Programme lassen dem Anwender die
  4899.     Wahl zwischen dem Virenschutz bevor das Netzwerk gestartet wurde,
  4900.     oder nachdem das Netzwerk gestartet wurde. Beides ist nicht möglich.
  4901.  
  4902.  
  4903.     Benutzung von TbDisk
  4904.  
  4905.     TBDisk aufrufen
  4906.  
  4907.     Eine ungeeignete Installation kann eine große Anzahl an Fehlalarmen
  4908.     und sogar Datenverlust zur Folge haben. Wenn Sie TbDisk von der Datei
  4909.     autoexec.bat oder config.sys aus aufrufen lassen wollen, ist es sehr
  4910.     empfehlenswert, fürs erste die Option "install" zu verwenden. Wenn
  4911.     sich Ihr System auch weiterhin normal verhält, und TbDisk keinen fal-
  4912.     schen Alarm auslöst, wenn Sie Dateien auf ihre Festplatte kopieren,
  4913.     ist TbDisk korrekt installiert, und Sie können die Option install
  4914.     wieder entfernen.
  4915.  
  4916.  
  4917.  
  4918.                                      III - 43
  4919.  
  4920.  
  4921. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4922.  
  4923.  
  4924.     TbDisk in Ihrer Installation
  4925.  
  4926.     Wenn TbDisk Fehlalarme auslöst, sollten Sie den Aufruf des Programms
  4927.     in Ihrer config.sys oder autoexec.bat weiter nach hinten verschieben,
  4928.     bis es fehlerfrei arbeitet.
  4929.  
  4930.     Anders als andere TBAV-Programme, sollten Sie TbDisk nach anderen
  4931.     speicherresidenten Programmen starten! Dies nicht zu befolgen, kann
  4932.     viele falsche Alarme auslösen!
  4933.  
  4934.  
  4935.     TbDisk und MS-Windows
  4936.  
  4937.     TbDisk stellt den Start von Windows fest und schaltet
  4938.     sich, wenn nötig, in einen speziellen Multitasking-Modus. In einem
  4939.     DOS-Fenster kann TbDisk abgeschaltet werden, ohne die Funktion des
  4940.     Programms in den anderen DOS-Fenstern zu beeinflussen.
  4941.     Wenn Sie Windows für die Verwendung des 32-Bit Zugriffs eingestellt
  4942.     haben, und Windows einen Fehler meldet, kann es erforderlich sein, die
  4943.     Option 'win32' zu benutzen.
  4944.  
  4945.  
  4946.     Startoptionen
  4947.  
  4948.     In der Befehlszeile können beim Programmaufruf Optionen angegeben
  4949.     werden. Die ersten vier im folgenden erklärten Optionen sind jederzeit
  4950.     verfügbar, alle übrigen können nur beim ersten Aufruf angegeben
  4951.     werden, wenn TbDisk noch nicht speicherresident geladen ist.
  4952.  
  4953.      Option  Parameter   Abk. Erklärung
  4954.      ------  ---------   ---- ----------------------------
  4955.      help                ?    =Zeigt Hilfetext
  4956.      remove              r    =Entfernt TbDisk aus dem Speicher
  4957.      off                 d    =Schaltet Überprüfung ab
  4958.      on                  e    =Schaltet Überprüfung an
  4959.  
  4960.      wrprot              p    =Schreibschutz für Festplatten
  4961.      nowrprot            n    =Kein Schreibschutz mehr für Festplatten
  4962.      win32               w    =Erlaubt Windows 32bit-Laufwerkszugriff
  4963.      secure              s    =Verbietet Zugriff ohne nachzufragen
  4964.      nostealth           a    =Keine Suche nach 'stealth'-Zugriffen
  4965.      notunnel            t    =Keine Suche nach 'tunneling'
  4966.      install             i    =Installations-Test-Modus
  4967.  
  4968.  
  4969.     help (?)
  4970.     Mit dieser Option zeigt TbDisk die oben abgebildete Optionen-Liste an.
  4971.     Wurde TbDisk bereits speicherresident geladen, werden nur noch die
  4972.     dann verfügbaren Optionen angezeigt.
  4973.  
  4974.     remove (r)
  4975.     Wurde TbDisk bereits speicherresident geladen, so kann es durch den
  4976.     Aufruf von TbDisk mit der Option remove (abgekürzt "r") wieder aus dem
  4977.     Speicher entfernt werden. Wurden andere ähnliche speicherresidente Pro-
  4978.     gramme nach TbDisk geladen, so könnte die Entfernung des Programms aus
  4979.  
  4980.  
  4981.                                      III - 44
  4982.  
  4983.  
  4984. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  4985.  
  4986.  
  4987.     dem Speicher große Probleme verursachen. TbDisk erkennt dies und um-
  4988.     geht diese Probleme, indem es sich in diesem Fall nicht aus dem Speicher
  4989.     entfernt, sondern nur abschaltet.
  4990.  
  4991.     off (d)
  4992.     Wenn Sie die Option off verwenden, so wird TbDisk vorübergehend abge-
  4993.     schaltet, aber bleibt weiter speicherresident geladen.
  4994.  
  4995.     on (e)
  4996.     Wurde TbDisk mit der Option off abgeschaltet, so kann es mit der
  4997.     Option on wieder angeschaltet werden.
  4998.  
  4999.     wrprot (p)
  5000.     Disketten können einfach durch Bekleben der Schreibschutzkerbe oder
  5001.     durch Verschieben des Schreibschutzschiebers geschützt werden. Für
  5002.     Festplatten ist dies leider nicht möglich. Dies erhöht die Gefahr,
  5003.     wenn Sie beispielsweise neue Programme ausprobieren, um festzustellen,
  5004.     was diese mit ihrer Festplatte machen und wie Daten beeinflußt werden.
  5005.     Die Option wrprot kann zum Schreibschutz Ihrer Festplatte eingesetzt
  5006.     werden. Versucht ein Programm, auf eine so geschützte Festplatte zu
  5007.     schreiben, erhalten Sie eine Fehlermeldung wie:
  5008.  
  5009.     "Schreibschutzfehler beim Schreiben auf Laufwerk c: A)bort, R)etry, I)gnore?".
  5010.    
  5011.     Sie können dann eine der Möglichkeiten auswählen.
  5012.  
  5013. =>  Beachten Sie, daß ein solcher Software-Schreibschutz nicht hundertpro-
  5014.     zentig zuverlässig. Auch wenn nahezu kein Virus einen solchen Schutz
  5015.     umgehen kann, so ist das doch nicht unmöglich. Trotzdem ist das Verfah-
  5016.     ren ein wertvoller Schutz gegen die meisten heimtückischen Programme.
  5017.  
  5018.     nowrprot (n)
  5019.     Die Option nowrprot (abgekürzt "n") macht die Option wrprot rückgängig.
  5020.  
  5021.     win32 (w)
  5022.     Windows verwendet im erweiterten Modus für 386-PC einige undokumentierte
  5023.     DOS-Aufrufe, um den originalen BIOS-Disk-Handler zu ersetzen, wenn der
  5024.     32Bit-Zugriff erlaubt wurde. Da TbDisk solche Aufrufe überwacht, werden
  5025.     diese 32Bit-Zugriffe verhindert. Soll Windows die Erlaubnis für solche
  5026.     Aufrufe haben, so können Sie die Option win32 (abgekürzt "w") verwenden.
  5027.     Die Sicherheit vor Viren wird dadurch jedoch etwas reduziert.
  5028.  
  5029. =>  Achtung: Verwenden sie diese Option (welche die Sicherheit gegen Viren
  5030.     etwas vermindert) nur, wenn sie Windows im erweiterten 386-Modus den
  5031.     schnellen 32-Bit-Festplattenzugriff erlaubt haben.
  5032.  
  5033.     secure (s)
  5034.     TbDisk fragt normalerweise den Benutzer, ob direkte Schreibversuche
  5035.     fortgesetzt werden dürfen oder abgebrochen werden sollen. In manchen
  5036.     beruflichen Umgebungen sollten solche Fragen nicht von Angestellten
  5037.     beantwortet werden. Durch Verwendung der Option secure (abgekürzt "s")
  5038.     ist es nicht länger möglich, neuen oder unbekannten Programmen die
  5039.     Erlaubnis für direkte Zugriffe auf ein Laufwerk zu gestatten.
  5040.  
  5041.  
  5042.                                      III - 45
  5043.  
  5044.  
  5045. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5046.  
  5047.  
  5048.     nostealth (a)
  5049.     TbDisk versucht direkte Aufrufe ins BIOS zu entdecken. Wird ein solcher
  5050.     Versuch unternommen, meldet TbDisk, daß auf das Laufwerk in unüblicher
  5051.     Weise zugegriffen werden soll. Sollte diese Fähigkeit falsche Alarme aus-
  5052.     lösen, so kann sie mit der Option 'nostealth' (abgekürzt 'a') abgeschal-
  5053.     tet werden.
  5054.  
  5055.     notunnel (t)
  5056.     TbDisk entdeckt normalerweise den Versuch von Viren zu tunneln. Das
  5057.     Tunneln ist eine von Viren verwendete Technik, um den Speicherplatz
  5058.     des BIOS-Codes im Speicher zu entdecken und diese Adresse für direkte
  5059.     Kommunikation mit dem BIOS zu gebrauchen. Damit wird die Überwachung
  5060.     aller speicherresidenten Antiviren-Programme umgangen. TbDisk ist in
  5061.     der Lage, Tunnel-Versuche festzustellen und vor ihnen zu warnen. Es
  5062.     gibt andere Antiviren-Programme, die sich der Tunnel-Technik bedienen,
  5063.     um speicherresidente Viren zu umgehen. Diese verursachen dabei dann
  5064.     einen falschen Alarm. Wenn Sie solche anderen Antiviren-Programme
  5065.     verwenden, können Sie mit der Option 'notunnel' (abgekürzt "t") die
  5066.     Überprüfung von Tunnelversuchen abschalten.
  5067.  
  5068.     install (i)
  5069.     Wenn TbDisk nicht korrekt installiert ist, kann es eine Vielzahl von
  5070.     Fehlalarmen auslösen. Um Sie davor zu bewahren, bei solchen Fehlalarmen
  5071.     erlaubte Schreibzugriffe abzubrechen, können Sie die Option install
  5072.     (abgekürzt "i") verwenden, wenn Sie TbDisk in der config.sys oder der
  5073.     autoexec.bat installieren.
  5074.  
  5075.  
  5076.     Die Arbeitsweise von TbDisk
  5077.  
  5078.     Was sind direkte Laufwerkszugriffe?
  5079.     Programme greifen oft auf Dateien über das Betriebssystem DOS (Disk
  5080.     Operating System) zu. Wenn ein Programm eine Datei auf den neusten Stand
  5081.     bringen will, so fordert es DOS auf, die Daten in die Datei auf die Disk
  5082.     zu schreiben. Es gibt aber auch noch andere Wege, um auf ein Laufwerk zu
  5083.     schreiben, und zwar unter Umgehung von DOS. Diese Schreibzugriffe werden
  5084.     als direkte Laufwerkszugriffe bezeichnet (direct disk access).
  5085.  
  5086.     Normale Programme schreiben nicht direkt. Es gibt allerdings Programme,
  5087.     die dies tun müssen. Folgende Programmgruppen gehören dazu:
  5088.  
  5089.     -   Programme zur Formatierung von Disketten und Festplatten. Eine
  5090.         Formatierung kann nur mit direktem Zugriff durchgeführt werden.
  5091.  
  5092.     -   Diagnose Utilities für Disketten und Festplatten (Bsp.: der NORTON
  5093.         disk doctor, das DOS-Programm chkdsk usw.)
  5094.  
  5095.     -   Disk-Optimierungsprogramme.
  5096.  
  5097.     Die meisten Viren bedienen sich ebenfalls des direkten Zugriffs auf
  5098.     die Laufwerke. Deshalb sollte diese Zugriffsart auf irgendeine Weise
  5099.     kontrolliert werden, vorzugsweise mit TbDisk. 
  5100.  
  5101.  
  5102.  
  5103.  
  5104.                                      III - 46
  5105.  
  5106.  
  5107. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5108.  
  5109.  
  5110.     Entdecken direkter Laufwerkszugriffe
  5111.  
  5112.     Wenn TbDisk den Versuch eines Programmes entdeckt, direkt auf ein Lauf-
  5113.     werk zuzugreifen, erscheint eine Meldung am Bildschirm, die Sie hierüber
  5114.     in Ihrer Sprache informiert. Sie können wählen, ob Sie den Zugriff ge-
  5115.     statten oder abbrechen.
  5116.  
  5117.     Wenn TbDisk die Meldung anzeigt, daß ein Programm versucht, direkt auf
  5118.     ein Laufwerk zuzugreifen, so müssen Sie sich den Zweck des laufenden
  5119.     Programms überlegen. Soll das Programm zum Beispiel Disketten formatieren
  5120.     oder Sektoren editieren? Erlauben Sie den Zugriff, wenn es sich um ein
  5121.     Formatierungsprogramm oder etwa ein Disketten- oder Festplatten-
  5122.     optimierungsprogramm handelt.
  5123.  
  5124.     Wenn jedoch eine Meldung angezeigt wird, während Sie mit einem Textver-
  5125.     arbeitungsprogramm, einer Datenbank oder einer Tabellenkalkulation
  5126.     arbeiten, ist das extrem verdächtig! Sie sollten das Programm abbrechen
  5127.     und Ihren Computer mit einem Virenscanner untersuchen.
  5128.  
  5129.  
  5130.  
  5131.  
  5132.  
  5133.  
  5134.  
  5135.  
  5136.  
  5137.  
  5138.  
  5139.  
  5140.  
  5141.  
  5142.  
  5143.  
  5144.  
  5145.  
  5146.  
  5147.  
  5148.  
  5149.  
  5150.  
  5151.  
  5152.  
  5153.  
  5154.  
  5155.  
  5156.  
  5157.  
  5158.  
  5159.  
  5160.  
  5161.  
  5162.  
  5163.  
  5164.  
  5165.                                      III - 47
  5166.  
  5167.  
  5168. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5169.  
  5170.  
  5171. 6. TBAV-Tools
  5172.  
  5173.  
  5174. 6.1. TbUtil
  5175.  
  5176.  
  5177.     Der Zweck von TbUtil
  5178.  
  5179.     TbUtil stellt einen wirksamen Schutz gegen Partitionstabellen- und
  5180.     Bootsektor-Viren dar:
  5181.  
  5182.     Es kann die Partitionstabelle, den Bootsektor und die CMOS-Daten in
  5183.     einer Datei sichern. Mit diesem Tool läßt sich die Partitionstabelle,
  5184.     der Bootsektor und der CMOS-Datenbereich nach einem Virenbefall ver-
  5185.     gleichen und rekonstruieren.
  5186.  
  5187.     TbUtil kann einen Partitionstabellen-Virus beseitigen, ohne eine Low-
  5188.     level-Formatierung der Festplatte vorzunehmen, selbst wenn kein Backup
  5189.     der Partitionstabelle existiert.
  5190.  
  5191.     Es kann Bootsektor-Viren beseitigen.
  5192.  
  5193.     Es ist in der Lage, eine Partitionstabelle erzeugen, die über einen
  5194.     integrierten Virenschutz verfügt. 
  5195.  
  5196.     Es kann den infizierten oder den sauberen Bootsektor durch einen solchen
  5197.     ersetzen, der dem Standard-Bootsektor überlegen ist.
  5198.  
  5199.  
  5200.     Was ist eine Partitionstabelle?
  5201.     Eine Partition ist ein Logisches Laufwerk auf einer Festplatte. Ein
  5202.     physikalisches Laufwerk kann mehrere DOS-Partitionen umfassen. Jede
  5203.     DOS-Partition hat ihre eigene Laufwerkskennung (z.B. C: D: E:).
  5204.     Die Partitionstabelle enthält Start- und Endzylinder jeder Partition.
  5205.     Sie enthält auch Informationen über das Betriebssystem einer Partition
  5206.     und welche Partition zum Booten verwendet werden soll. Die Partitions-
  5207.     tabelle befindet sich immer auf dem ersten Sektor der Festplatte, wel-
  5208.     cher als "Master-Boot-Record" (MBR) bezeichnet wird.
  5209.  
  5210.  
  5211.  
  5212.     Formatierung unnötig
  5213.     Im Gegensatz zu den meisten Datei-Viren sind Partitionstabellen-
  5214.     Viren schwer zu beseitigen. Die einzige Lösung ist eine Low-Level-
  5215.     Formatierung der Festplatte und die Erstellung einer neuen Partitions-
  5216.     tabelle oder die Verwendung nicht-dokumentierter DOS-Befehle.
  5217.  
  5218.     TbUtil erstellt ein Backup von Partitionstabelle und Bootsektor.
  5219.     Dieses Backup kann zum Vergleichen und Wiederherstellen der ursprüng-
  5220.     lichen Partitionstabelle und des Bootsektors nach einer Infektion
  5221.     eingesetzt werden. Sie müssen Ihre Festplatte also nicht mehr forma-
  5222.     tieren, um einen Partitionstabellen- oder Bootsektor-Virus loszuwerden.
  5223.     Das Programm kann zudem die CMOS-Konfiguration wiederherstellen.
  5224.  
  5225.  
  5226.                                      III - 48
  5227.  
  5228.  
  5229. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5230.  
  5231.  
  5232.     Wenn Sie es wünschen, ersetzt TbUtil den Code der Partitionstabelle
  5233.     durch einen wesentlich virenresistenteren. Der Partitionscode von TbUtil
  5234.     wird ausgeführt, ehe der Bootsektor die Kontrolle übernimmt. Dadurch ist
  5235.     es möglich den Bootsektor in einer sauberen Umgebung zu prüfen. Ist der
  5236.     Bootsektor bereits ausgeführt, ist seine Überprüfung problematisch, da
  5237.     der Virus dann bereits resident im Speicher sitzt und jeden Schutz an
  5238.     der Nase herumführen kann. Anstatt jedesmal von einer sauberen DOS-
  5239.     Diskette zu starten, nur um den Bootsektor zu untersuchen, führt der
  5240.     Partitionscode von TbUtil eine CRC-Berechnung (eine spezielle Prüfsumme)
  5241.     durch, bevor dem Bootsektor die weitere Kontrolle überlassen wird.
  5242.  
  5243.     Sollte sich der Bootsektor verändert haben, wird Sie der Partitions-
  5244.     code von TbUtil hierüber informieren. Der TbUtil-Partitionscode prüft
  5245.     aber auch das RAM-Layout und informiert Sie über Veränderungen an
  5246.     diesem - jedesmal wenn Sie von Ihrer Festplatte booten.
  5247.  
  5248.     TbUtil kann infizierte und virenfreie Bootsektoren durch einen neuen
  5249.     ersetzen, der gegenüber dem Standard-Bootsektor wesentliche Vorteile
  5250.     bietet. Er besitzt die Fähigkeit, Viren zu entdecken, führt eine
  5251.     Selbstüberprüfung durch und lenkt den Bootvorgang automatisch auf die
  5252.     Festplatte um wenn sich in einem Diskettenlaufwerk eine nichtbootfähige
  5253.     Diskette befindet.
  5254.  
  5255.  
  5256.     Benutzung von TbUtil
  5257.  
  5258.     The TbUtil module contains several programs, which can be executed from
  5259.     the TbUtil menu or in case of an emergency from a TbUtil recovery
  5260.     diskette using the DOS command line. TbUtil allows some additional menu
  5261.     options. These options are discussed below. The corresponding command
  5262.     line parameters are listed in chapter 6 of this section.
  5263.  
  5264.  
  5265.     Das System Maintenance-Menü
  5266.  
  5267.     Dieses Menü enthält das eigentliche TbUtil-Programm. Das Programm kümmert
  5268.     sich um das Sichern, Wiederherstellen oder Vergleichen der Systemkonfi-
  5269.     guration Ihres PCs. Die Backup-Systemkonfiguration wird auf Diskette in
  5270.     einer Datei gespeichert. Diese trägt einen Standardnamen - Sie können
  5271.     aber auch einen Namen spezifizieren.
  5272.  
  5273. =>  Beachten Sie, daß Sie eine Systemkonfiguration nur mittels einer Daten-
  5274.     datei restaurieren, die auf exakt diesem PC erstellt wurde. Sollte dies
  5275.     nicht der Fall sein, würde das Restaurieren einer solchen Datei Ihren
  5276.     PC unzugänglich machen!
  5277.  
  5278.  
  5279.  
  5280.  
  5281.  
  5282.  
  5283.  
  5284.  
  5285.  
  5286.  
  5287.  
  5288.                                      III - 49
  5289.  
  5290.  
  5291. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5292.  
  5293.  
  5294.      +----Main menu-----+
  5295.      |  Confi+-----------TbUtil menu-----------+
  5296.      |  TbSet|  Syste+-------System maintenance-------+
  5297.      |  TbSca|  Immun|  Execute TbUtil                |
  5298.      |  TbUti|  Immun|  Name of TbUtil data file      |
  5299.      |  TbCLe|  Immun|  Describe this machine         |
  5300.      |  TBAV +-------|  Save system configuration     |
  5301.      |  Documentation|v Compare system configuration  |
  5302.      |  Quit and save|  Restore system configuration  |
  5303.      |  eXit (no save|v process CMOS memory           |
  5304.      +---------------|v process Partition code        |
  5305.                      |v process Bootsector            |
  5306.                      +--------------------------------+
  5307.  
  5308.  
  5309.      Execute TbUtil
  5310.  
  5311.      Bevor Sie diese Option auswählen, müssen Sie zunächst eine der möglichen
  5312.      Funktionen angeben: 'save' (speichern), 'compare' (vergleichen) oder
  5313.      'restore' (wiederherstellen) der Systemkonfiguration. Fahren Sie mit dem
  5314.      Cursorbalken auf den gewünschten Menüpunkt und bestätigen Sie mit
  5315.      <ENTER>. Eine kleine Markierung zeigt Ihnen an, daß die Option ausge-
  5316.      wählt wurde.
  5317.  
  5318.  
  5319.      Name of TbUtil data file
  5320.  
  5321.      Die 'save'-Option bewirkt, daß die Systemkonfiguration in einer Datei
  5322.      gespeichert wird. Sie können dieser Datei eine Beschreibung einfügen,
  5323.      die es Ihnen erleichtert, die Datendatei dem richtigen Rechner zuzu-
  5324.      ordnen.
  5325.  
  5326.  
  5327.      Describe this machine 
  5328.  
  5329.      Geben Sie eine sinnvolle Beschreibung des Rechners ein. Beispiels-
  5330.      weise "AT 12MHz, 4MB, Raum 12, Herr Schmid". Sie müssen sich das also
  5331.      NICHT zu merken, TbUtil zeigt es Ihnen an, wenn Sie die Option 'compare'
  5332.      oder 'restore' wählen. Damit können Sie eine TbUtil-Datendatei problem-
  5333.      los dem richtigen Rechner zuordnen.
  5334.  
  5335.  
  5336.      Save system configuration 
  5337.  
  5338.      Diese Option speichert die Partitionstabelle, den Bootsektor und den
  5339.      CMOS-Datenbereich in der TbUtil-Datendatei.
  5340.  
  5341. =>>  Achtung! Da der PC für DOS absolut unzugänglich ist, wenn die Parti-
  5342.      tionstabelle beschädigt wurde, RATEN wir Ihnen DRINGEND, sowohl die 
  5343.      TbUtil-Datendatei als auch das Programm TbUtil.Exe selbst, auf einer
  5344.      Diskette abzuspeichern! Es ist nicht gerade schön, wenn die Partitions-
  5345.      tabelle zerstört ist und die einzige Lösung für dieses Problems auf
  5346.      derselben nichtzugänglichen Disk liegt...
  5347.  
  5348.      Wenn Sie TbUtil von der Befehlszeile starten, müssen Sie hinter der
  5349.  
  5350.  
  5351.                                      III - 50
  5352.  
  5353.  
  5354. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5355.  
  5356.  
  5357.      'store'-Option einen Dateinamen angeben. Erfolgt der Aufruf über das
  5358.      TBAV-Menü, können Sie den voreingestellten Dateinamen 'TBUTIL.DAT' ver-
  5359.      wenden. Falls Sie mehr als einen PC besitzen, ist es ratsam, eine
  5360.      TbUtil-Diskette anzulegen, auf der sich die Datendateien aller Ihrer
  5361.      PCs befinden. Setzen Sie dann die Dateinamens-Erweiterung zur Identi-
  5362.      fizierung des jeweiligen PCs ein: z.B.: a:TbUtil.<Nummer>.
  5363.  
  5364.           a:TbUtil.<number>
  5365.  
  5366.  
  5367.      Compare system configuration 
  5368.  
  5369.      Mit dieser Option können Sie prüfen, ob noch alles in Ordnung ist.
  5370.      Geben Sie diese Option an, vergleicht TbUtil die Informationen in der
  5371.      TbUtil-Datendatei mit der Partitionstabelle, dem Bootsektor und dem
  5372.      CMOS-Datenbereich. Zudem werden die Bemerkungen, die in der TbUtil-
  5373.      Datendatei gespeichert sind, angezeigt. Zuguterletzt können Sie durch
  5374.      Verwendung dieser Option sichergehn, daß Ihre TbUtil-Datendatei noch
  5375.      lesbar ist.
  5376.  
  5377.  
  5378.      Restore system configuration 
  5379.  
  5380.      Mit der Option 'restore' können Sie die Partitionstabelle, den Bootsek-
  5381.      tor und den CMOS-Datenbereich wiederherstellen. Sie müssen bestätigen,
  5382.      daß die vorhandene TbUtil-Datendatei zu eben diesem Rechner gehört. Zu-
  5383.      letzt wird die Partitionstabelle, der Bootsektor jener Partition, die
  5384.      zum Booten verwendet wird und der CMOS-Datenbereich wiederhergestellt.
  5385.  
  5386.  
  5387.      Process Partition code/Bootsector/CMOS memory
  5388.  
  5389.      TbUtil stellt standardmäßig die Partitionstabelle, den Bootsektor und
  5390.      den CMOS-Datenbereich wieder her. Geben Sie eine der oben genannten
  5391.      Opionen in Verbindung mit der Option 'restore' an, wird nur entspre-
  5392.      chende Teil restauriert.
  5393.  
  5394.  
  5395.      Das TbUtil-Menü
  5396.  
  5397.      Neben dem 'System Maintenance'-Menü, stellt das TbUtil-Menü einige
  5398.      weitere nützliche Programme zur Verfügung, mit denen Sie präventiv
  5399.      gegen Bootsektor-Viren vorgehen oder falls nötig beseitigen können.
  5400.  
  5401.      +----Main menu-----+
  5402.      |  Confi+-----------TbUtil menu-----------+
  5403.      |  TbSet|  System maintenance menu       >|
  5404.      |  TbSca|  Immunize/clean bootsector A:   |
  5405.      |  TbUti|  Immunize/clean bootsector B:   |
  5406.      |  TbCLe|  Immunize/clean partition code  |
  5407.      |  TBAV +---------------------------------+
  5408.      |  Documentation  >|
  5409.      |  Quit and save   |
  5410.      |  eXit (no save)  |
  5411.      +------------------+
  5412.  
  5413.                                      III - 51
  5414.  
  5415.  
  5416. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5417.  
  5418.  
  5419.      Immunize/clean diskette 
  5420.  
  5421.      Mit dieser Option können Sie Disketten von Bootsektor-Viren befreien.
  5422.      Sie können sie aber auch dazu verwenden, den Standard-Bootsektor einer
  5423.      Diskette durch einen dem Original-Bootsektor überlegenen zu ersetzen:
  5424.  
  5425.      Er ist in der Lage Viren zu erkennen. Der Bootsektor prüft selbst, ob
  5426.      er sich noch auf dem richtigen Platz auf der Diskette befindet und daß
  5427.      der Interrupt 13h und/oder der 40h sich noch im ROM befinden. Damit
  5428.      lassen sich sogar Tarnkappen-Viren aufspüren.
  5429.         
  5430.      Der TBAV-Bootsektor ist in der Lage, die Systemdateien zu laden wenn
  5431.      sie auf der Diskette vorhanden sind. Befinden sich die DOS-Systemda-
  5432.      teien jedoch nicht auf der Diskette, öffnet der TBAV-Bootsektor ein
  5433.      kleines Menü, das Ihnen zwei Auswahlmöglichkeiten bietet: Sie können
  5434.      den Bootvorgang mit einer anderen Diskette nochmal versuchen oder von
  5435.      der Festplatte booten. Entscheiden Sie sich für letzteres, ist es nicht
  5436.      notwendig die Verriegelung des Diskettenlaufwerks zu lösen.
  5437.  
  5438.  
  5439.      Immunize/clean hard disk 
  5440.  
  5441.      'Immunize' ist eine sehr leistungsfähige Option. Sie kann zum
  5442.      Desinfizieren einer virenbefallenen Partitionstabelle eingesetzt
  5443.      werden, wenn keine TbUtil-Datendatei vorhanden ist. Zudem wird
  5444.      der vorhandene Code der Partitionstabelle durch einen neuen ersetzt,
  5445.      der Virenabwehr-Funktionen besitzt. Der Original-Partitionscode wird
  5446.      in einer Datei gespeichert. Starten Sie TbUtil von einem Disketten-
  5447.      laufwerk aus oder spezifizieren Sie den Dateinamen unter dem der
  5448.      Original-Partitionscode gespeichert werden soll. Das angegebene Lauf-
  5449.      werk sollte ein Diskettenlaufwerk sein.
  5450.  
  5451.      Falls die Original-Partitionstabelle so zerstört ist, daß sie für
  5452.      die Erstellung einer neuen unbrauchbar ist, sucht TbUtil im Stan-
  5453.      dardlaufwerk nach Informationen über die ursprüngliche Diskbele-
  5454.      gung. Es sucht sogar auf der Festplatte nach TbUtil-Datendateien.
  5455.      Wir raten Ihnen jedoch dringend, diese Datendatei auf einer Diskette
  5456.      zu speichern. Eine zusätzliche Kopie auf der Festplatte zu belassen,
  5457.      ist eine gute Idee - für alle Fälle!
  5458.  
  5459.      Wenn sich Ihre Systemkonfiguration ändert, d.h. wenn Sie Ihre DOS-
  5460.      Version updaten oder die Speichergröße ändern, müssen Sie auch die
  5461.      Informationen in der immunisierten Partition aktualisieren. Hierzu
  5462.      verwenden Sie einfach diese Option.
  5463.  
  5464.      Für den sehr unwahrscheinlichen Fall, daß Ihr System nicht mehr korrekt
  5465.      bootet, können Sie die Original-Partitionstabelle mit Hilfe der TbUtil-
  5466.      Option 'restore' oder durch Verwenden des DOS-Befehls 'FDISK /MBR' (erst
  5467.      ab DOS 5.0) wiederherstellen. Letzterer erstellt eine neue Partitionsta-
  5468.      belle.
  5469.  
  5470.      Arbeitet der neue Partitionscode hingegen einwandfrei, sollten
  5471.      Sie diesen mit der TbUtil-Option 'store' auf Diskette sichern.
  5472.  
  5473.  
  5474.                                      III - 52
  5475.  
  5476.  
  5477. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5478.  
  5479.  
  5480.     Startoptionen
  5481.     In der Befehlszeile können Sie Startoptionen spezifizieren. Diese
  5482.     können Sie als vollständiges Wort oder abgekürzt eingeben. Der
  5483.     besseren Verständlichkeit wegen werden die Wörter im vorliegenden
  5484.     Handbuch bevorzugt.
  5485.  
  5486.     Option      Parameter   Abk.    Erläuterung 
  5487.     ----------  ---------   ----  ---------------------------------------
  5488.     immunize <Laufwerk>     im  = Immunisieren/Desinfizieren des
  5489.                                   Boot-/Masterbootrecords von <Laufwerk>
  5490.     store    [<Dateiname>]  st  = Speichern der Systeminformation
  5491.     restore  [<Dateiname>]  re  = Wiederherstellen der Systeminformation
  5492.     compare  [<Dateiname>]  co  = Vergleichen der Systeminformation
  5493.         Unteroption der Option 'Immunize':
  5494.     norepeat                nr  = Keine weitere Diskette anfordern
  5495.         Unteroption der Option 'Store':
  5496.     description =<Beschr.>  de  = Beschreibung an Datendatei anfügen
  5497.         Unteroption der Option 'Restore':
  5498.     part                    pt  = Wiederherstellen der Partitionstabelle
  5499.     boot                    bo  = Wiederherstellen des Bootsektors of HD???
  5500.     cmos                    cm  = Wiederherstellen des CMOS
  5501.  
  5502.  
  5503.      Im folgenden werden diese Startoptionen kurz erläutert.
  5504.  
  5505.      immunize diskette <drive> (im)
  5506.      Mit dieser Option können Sie Disketten von Bootsektor-Viren befreien.
  5507.      Sie können sie aber auch dazu verwenden, den Standard-Bootsektor einer
  5508.      Diskette durch einen dem Original-Bootsektor überlegenen zu ersetzen:
  5509.  
  5510.      -  Er ist in der Lage Viren zu erkennen. Der Bootsektor prüft
  5511.         selbst, ob er sich noch auf dem richtigen Platz auf der Diskette
  5512.         befindet und daß der Interrupt 13h und/oder der 40h sich noch im
  5513.         ROM befinden. Damit lassen sich sogar Tarnkappen-Viren aufspüren.
  5514.         
  5515.      -  Der TBAV-Bootsektor ist in der Lage, die Systemdateien zu laden
  5516.         wenn sie auf der Diskette vorhanden sind. Befinden sich die DOS-
  5517.         Systemdateien jedoch nicht auf der Diskette, öffnet der TBAV-
  5518.         Bootsektor ein kleines Menü, das Ihnen zwei Auswahlmöglichkeiten
  5519.         bietet: Sie können den Bootvorgang mit einer anderen Diskette
  5520.         nochmal versuchen oder von der Festplatte booten. Entscheiden
  5521.         Sie sich für letzteres, ist es nicht notwendig die Verriegelung
  5522.         des Diskettenlaufwerks zu lösen.
  5523.  
  5524.  
  5525.      Immunize c: (im c:)
  5526.      'Immunize' ist eine sehr leistungsfähige Option. Sie kann zum
  5527.      Desinfizieren einer virenbefallenen Partitionstabelle eingesetzt
  5528.      werden, wenn keine TbUtil-Datendatei vorhanden ist. Zudem wird
  5529.      der vorhandene Code der Partitionstabelle durch einen neuen ersetzt,
  5530.      der Virenabwehr-Funktionen besitzt. Der Original-Partitionscode wird
  5531.      in einer Datei gespeichert. Starten Sie TbUtil von einem Disketten-
  5532.      laufwerk aus oder spezifizieren Sie den Dateinamen unter dem der
  5533.      Original-Partitionscode gespeichert werden soll. Das angegebene Lauf-
  5534.      werk sollte ein Diskettenlaufwerk sein.
  5535.  
  5536.  
  5537.                                      III - 53
  5538.  
  5539.  
  5540. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5541.  
  5542.  
  5543.     Falls die Original-Partitionstabelle so zerstört ist, daß sie für
  5544.     die Erstellung einer neuen unbrauchbar ist, sucht TbUtil im Stan-
  5545.     dardlaufwerk nach Informationen über die ursprüngliche Diskbele-
  5546.     gung. Es sucht sogar auf der Festplatte nach TbUtil-Datendateien.
  5547.     Wir raten Ihnen jedoch dringend, diese Datendatei auf einer Diskette
  5548.     zu speichern. Eine zusätzliche Kopie auf der Festplatte zu belassen,
  5549.     ist eine gute Idee - für alle Fälle!
  5550.  
  5551.     Wenn sich Ihre Systemkonfiguration ändert, d.h. wenn Sie Ihre DOS-
  5552.     Version updaten oder die Speichergröße ändern, müssen Sie auch die
  5553.     Informationen in der immunisierten Partition aktualisieren. Hierzu
  5554.     verwenden Sie einfach diese Option. Für den sehr unwahrscheinlichen
  5555.     Fall, daß Ihr System nicht mehr korrekt bootet, können Sie die Origi-
  5556.     nal-Partitionstabelle mit Hilfe der TbUtil-Option 'restore' oder durch
  5557.     Verwenden des DOS-Befehls 'FDISK /MBR' (erst ab DOS 5.0) wiederher-
  5558.     stellen. Letzterer erstellt eine neue Partitionstabelle. Arbeitet der
  5559.     neue Partitionscode hingegen einwandfrei, sollten Sie diesen mit der
  5560.     TbUtil-Option 'store' auf Diskette sichern.
  5561.  
  5562.  
  5563.     store [<Dateiname>] (st)
  5564.     Diese Option speichert die Partitionstabelle, den Bootsektor und den
  5565.     CMOS-Datenbereich in der TbUtil-Datendatei.
  5566.  
  5567.  
  5568. =>> Achtung! Da der PC für DOS absolut unzugänglich ist, wenn die Parti-
  5569.     tionstabelle beschädigt wurde, RATEN wir Ihnen DRINGEND, sowohl die 
  5570.     TbUtil-Datendatei als auch das Programm TbUtil.Exe selbst, auf einer
  5571.     Diskette abzuspeichern! Es ist nicht gerade schön, wenn die Partitions-
  5572.     tabelle zerstört ist und die einzige Lösung für dieses Problems auf
  5573.     derselben nichtzugänglichen Disk liegt...
  5574.  
  5575.     Wenn Sie TbUtil von der Befehlszeile starten, müssen Sie hinter der
  5576.     'store'-Option einen Dateinamen angeben. Erfolgt der Aufruf über das
  5577.     TBAV-Menü, können Sie den voreingestellten Dateinamen 'TBUTIL.DAT' ver-
  5578.     wenden. Falls Sie mehr als einen PC besitzen, ist es ratsam, eine
  5579.     TbUtil-Diskette anzulegen, auf der sich die Datendateien aller Ihrer
  5580.     PCs befinden. Setzen Sie dann die Dateinamens-Erweiterung zur Identi-
  5581.     fizierung des jeweiligen PCs ein: z.B.: a:TbUtil.<Nummer>.
  5582.  
  5583.  
  5584.     restore [<Dateiname>] (re)
  5585.     Mit der Option 'restore' können Sie die Partitionstabelle, den Bootsek-
  5586.     tor und den CMOS-Datenbereich wiederherstellen. Sie müssen bestätigen,
  5587.     daß die vorhandene TbUtil-Datendatei zu eben diesem Rechner gehört. Zu-
  5588.     letzt wird die Partitionstabelle, der Bootsektor jener Partition, die
  5589.     zum Booten verwendet wird und der CMOS-Datenbereich wiederhergestellt.
  5590.  
  5591.     compare [<Dateiname>] (co)
  5592.     Mit dieser Option können Sie prüfen, ob noch alles in Ordnung ist.
  5593.     Geben Sie diese Option an, vergleicht TbUtil die Informationen in der
  5594.     TbUtil-Datendatei mit der Partitionstabelle, dem Bootsektor und dem
  5595.     CMOS-Datenbereich. Zudem werden die Bemerkungen, die in der TbUtil-
  5596.     Datendatei gespeichert sind, angezeigt. Zuguterletzt können Sie durch
  5597.     Verwendung dieser Option sichergehn, daß Ihre TbUtil-Datendatei noch
  5598.     lesbar ist.
  5599.  
  5600.                                      III - 54
  5601.  
  5602.  
  5603. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5604.  
  5605.  
  5606.     norepeat (nr) 
  5607.     Nachdem Sie eine Diskette immunisiert haben, fordert Sie TbUtil ge-
  5608.     wöhnlich auf, eine weitere Diskette einzulegen. Mit der Option 'norepeat'
  5609.     wird dies unterdrückt.
  5610.  
  5611.  
  5612.     description <Beschreibung> (de)
  5613.     Geben Sie eine sinnvolle Beschreibung des Rechners ein. Beispiels-
  5614.     weise "AT 12MHz, 4MB, Raum 12, Herr Schmid". Sie müssen sich das 
  5615.     also NICHT zu merken, TbUtil zeigt es Ihnen an, wenn Sie die Option
  5616.     'compare' oder 'restore' wählen. Damit können Sie eine TbUtil-
  5617.     Datendatei problemlos dem richtigen Rechner zuordnen.
  5618.  
  5619.     part (pt)
  5620.     boot (bo)
  5621.     cmos (cm)
  5622.  
  5623.     Wenn Sie TbUtil mit der Option 'restore' aufrufen, wird automatisch
  5624.     der Partitionscode, der Bootsektor und das CMOS wiederhergestellt.
  5625.     Setzen Sie jedoch die Option 'restore' in Verbindung mit einer der
  5626.     Optionen 'part', 'boot' oder 'cmos' ein, restauriert TbUtil nur den
  5627.     so spezifizierten Teilbereich.
  5628.  
  5629.     Beispiele:
  5630.         TbUtil store
  5631.         TbUtil st
  5632.         TbUtil store A:TbUtil.Dat
  5633.         TbUtil store A:TbUtil.Dat description = "Test-Rechner"
  5634.         TbUtil compare A:TbUtil.Dat
  5635.         TbUtil restore A:TbUtil.Dat part cmos
  5636.         TbUtil immunize A:
  5637.         Type A:TbUtil.Dat
  5638.  
  5639.  
  5640.     Benutzung der Anti-Virus-Partition
  5641.  
  5642.     Wenn Sie den Thunderbyte-Partitionscode installieren (mit 'TbUtil
  5643.     immunize'), erscheinen beim Booten eines nicht-infizierten Systems
  5644.     folgende Meldungen:
  5645.  
  5646.         Thunderbyte anti-virus partition v5.00 (C) 1992 Thunderbyte BV.
  5647.  
  5648.         Checking bootsector CRC -> OK!
  5649.         Checking available RAM -> OK!
  5650.         Checking INT 13h -> OK!
  5651.  
  5652.  
  5653.     Befindet sich ein Virus im Bootsektor oder in der Partitionstabelle,
  5654.     wird folgende Meldung ausgegeben:
  5655.  
  5656.         Thunderbyte anti-virus partition v5.00 (C) 1992 Thunderbyte BV.
  5657.  
  5658.         Checking bootsector CRC -> OK!
  5659.         Checking available RAM -> Failed!
  5660.  
  5661.         System might be infected. Continue? (N/Y)
  5662.  
  5663.                                      III - 55
  5664.  
  5665.  
  5666. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5667.  
  5668.  
  5669.      Andere mögliche Meldungen sind "No system", was bedeutet, daß auf
  5670.      dem Laufwerk keine aktive Partition vorhanden ist, und "Disk error",
  5671.      was unterschiedliche Bedeutungen haben kann.
  5672.  
  5673.  
  5674.      Verwenden der TbUtil-Diskette
  5675.  
  5676.      Nehmen Sie eine neue Diskette und formatieren Sie diese so, daß Sie
  5677.      bootfähig ist (z.B. mit dem DOS-Befehl 'format /s'). Kopieren Sie dann
  5678.      die TbUtil-Dateien auf diese Diskette:
  5679.  
  5680.           copy tbutil.* a:
  5681.  
  5682.      Sie benötigen folgende TbUtil-Dateien:
  5683.           tbutil.exe
  5684.           tbutil.lng
  5685.  
  5686.  
  5687.  
  5688.      Lösen von Problemen
  5689.  
  5690.      Im Notfall, wenn beispielsweise die Partitionstabelle beschädigt oder
  5691.      infiziert sein sollte, booten Sie von der TbUtil-Diskette. Danach
  5692.      starten Sie TbUtil mit der Option 'immunize':
  5693.  
  5694.           a:\tbutil immunize c:
  5695.  
  5696.  
  5697.  
  5698. 6.2. StackMan
  5699.  
  5700.     Der Zweck von StackMan
  5701.  
  5702.     Haben Sie jemals erlebt, daß sich Ihr Computer plötzlich aufgehängt
  5703.     hat? Haben Sie schon einmal zugesehen, wie ein Programm plötzlich mit
  5704.     viel Piepsen irgendwelchen Unsinn auf dem Bildschirm angezeigt hat?
  5705.     Haben Sie Ihren über Nacht arbeitenden Computer am nächsten Morgen
  5706.     schon einmal abgestürzt vorgefunden, obwohl das gleiche Programm
  5707.     tagsüber immer ohne Probleme gearbeitet hat? Haben Sie schon einmal
  5708.     die Meldung "Stack overflow" oder "Stapelüberlauf" an Ihrem Bild-
  5709.     schirm gesehen? Ist Ihr Computer schon einmal bei dem Versuch, ein
  5710.     speicherresidentes Programm (TSR) zu starten, abgestürzt? Läuft Ihr
  5711.     Computer nicht mehr zuverlässig, wenn Sie in der Datei config.sys die
  5712.     Zeile "Stacks=0,0" eintragen? Funktionieren manche Programme nicht,
  5713.     während bestimmte Hintergrundprogramme speicherresident geladen sind?
  5714.  
  5715.     Wenn Sie alle diese Fragen mit "Nein" beantworten können, dann wird
  5716.     Ihnen der Stack-Manager StackMan keinen Nutzen bringen. Wenn Ihnen jedoch
  5717.     manchmal so etwas passiert, könnten "Stack overflows", also Stapel-Über-
  5718.     läufe, die Ursache dafür sein. Oft können diese Probleme durch Einfügen
  5719.     der Anweisung "Stacks=9,256" in der Datei config.sys beseitigt werden.
  5720.     Manchmal aber nicht. Auf jeden Fall verbraucht die Anweisung "Stacks="
  5721.     wertvollen Speicherplatz. Auch ist es schwer, die richtigen Zahlenwerte
  5722.     zu finden. In den meisten Anleitungen ist die Verwendung dieses Befehls
  5723.     nicht sehr gut erklärt, weshalb nur wenige Computerbenutzer seinen Zweck
  5724.     und seine Anwendung verstehen.
  5725.  
  5726.                                      III - 56
  5727.  
  5728.  
  5729. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5730.  
  5731.  
  5732.     Was ist ein Stack?
  5733.  
  5734.     Ein Stack ist ein Pufferspeicher, den manche Programme verwenden, und
  5735.     der Prozessor selbst speichert kurzzeitig Daten in ihm ab. Die Daten
  5736.     werden dabei wie auf einem Stapel aufeinander abgelegt und in umge-
  5737.     kehrter Reihenfolge wieder heruntergeholt. Alle Programme richten
  5738.     sich ihren eigenen Stapelspeicher ein, wenn sie ausgeführt werden.
  5739.     Speicherresidente Hintergrundprogramme müssen den Stack des jeweiligen
  5740.     Vordergrundprogrammes mitbenutzen. Immer wenn Sie eine Taste drücken,
  5741.     löst der Tastaturprozessor einen Interrupt, eine Unterbrechung des
  5742.     Hauptprozessors aus, um den Tastendruck an ihn weiterzuleiten. Bei
  5743.     jedem Uhrtick wird der Prozessor unterbrochen, um die Systemuhr weiter-
  5744.     zustellen. Für jeden solchen Interrupt wird etwas Platz des Stapel-
  5745.     speichers benötigt.
  5746.  
  5747.  
  5748.     Wie kommt es zu Fehlern?
  5749.  
  5750.     Manchmal erreicht eine Tastaturunterbrechung, ein Uhrtick und vielleicht
  5751.     noch ein Interrupt fast gleichzeitig den Haupt-Prozessor. Dies passiert
  5752.     nicht oft, aber wenn das passiert, benötigen alle diese Ereignisse
  5753.     gleichzeitig etwas Speicherplatz. Läuft der Stapel dann über, hängt sich
  5754.     der Computer auf. Und wie Sie sich denken können, ist dieses zufällige
  5755.     Aufeinandertreffen von Ereignissen schwer zu reproduzieren...
  5756.  
  5757.     Obwohl es empfehlenswert ist, einem Programm genügend Stapelspeicher zur
  5758.     Verfügung zu stellen, machen viele Programmierer den Stack vor allem
  5759.     bei Programmen, die speicherresident sein sollen, sehr klein, um
  5760.     Speicherplatz zu sparen. Natürlich können speicherresidente Programme
  5761.     einen eigenen temporären Stack einrichten, sobald sie aktiviert werden,
  5762.     aber bevor sie dies tun können, benötigen sie für ihren eigenen Aufruf
  5763.     selbst etwas Platz auf dem Stapelspeicher des im Vordergrund laufenden
  5764.     Programmes. Die Stacks der speicherresidenten Programme sind aus ver-
  5765.     ständlichen Gründen auch oft sehr klein. Wenn Sie mehrere speicher-
  5766.     residente und/oder im Hintergrund laufende Programme geladen haben, kann
  5767.     der Stack in manchen Fällen zu klein sein.
  5768.  
  5769.     Um diese Probleme zu verhindern, kann DOS einen Vorrat an Stapel-
  5770.     speichern bereitstellen, um einen davon zu verwenden, wenn ein Hard-
  5771.     ware-Interrupt ausgelöst wird. Mit der Angabe von Stacks in der Datei
  5772.     config.sys können Anzahl und Größe dieser Stacks kontrolliert werden.
  5773.  
  5774.  
  5775.     Die DOS-Stacks haben jedoch einige Nachteile, weshalb das Programm
  5776.     StackMan entwickelt wurde.
  5777.  
  5778.     StackMan besitzt die gleiche Funktionalität wie der DOS-Befehl "stacks",
  5779.     bietet aber außerdem folgende Vorzüge:
  5780.  
  5781.     Wenn Sie DOS 5.0 oder eine spätere Version einsetzen, kann StackMan in
  5782.     den hohen Speicherbereich und/oder in die HMA geladen werden. DOS hinge-
  5783.     gen verwendet immer einen Teil des konventionellen Speicherbereichs. Mit
  5784.     StackMan können sie 1.5KByte Speicher einsparen.
  5785.  
  5786.     Die Parameter von StackMan sind flexibler. Sie können auch nur einen
  5787.  
  5788.                                      III - 57
  5789.  
  5790.  
  5791. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5792.  
  5793.  
  5794.     Stack-Bereich verwenden, wenn dies ausreicht. Das Minimum bei DOS
  5795.     sind acht.
  5796.  
  5797.     StackMan kann geladen werden, nachdem Ihre speicherresidenten Programme
  5798.     geladen wurden. Dies führt dazu, daß die residenten Programme die Stapel-
  5799.     speicher verwendet, die StackMan zur Verfügung stellt. Die DOS-Stacks 
  5800.     sind dagegen nur für die DOS- und BIOS-Funktionen verfügbar. Speicherre-
  5801.     sidente Programme verwenden den Stack des im Vordergrund laufenden Pro-
  5802.     grammes, und wenn das Probleme verursacht, kann der DOS-Befehl stacks
  5803.     nicht helfen.
  5804.  
  5805.     Der DOS-Befehl stacks bietet dem Benutzer eine Art Roulett: Der einzige
  5806.     Weg um die richtigen Zahlenwerte für die Parameter zu finden, ist der
  5807.     Weg von Versuch und Irrtum. StackMan dagegen kann einen Bericht anzeigen,
  5808.     mit dem es einfach ist, die nötige Anzahl und Größe an Stapelspeichern
  5809.     für Ihr spezielles System zu finden. Es ist kein Problem, die Stacks
  5810.     genau für Ihre System-Konfiguration zu optimieren.
  5811.  
  5812.     Manchmal scheinen die DOS-Stacks zu verschwinden. Auch wenn dies durch
  5813.     einen Fehler in einem der speicherresidenten Programme oder im Vorder-
  5814.     grundprogramm verursacht wurde, so ist die DOS-Meldung "Stapelüberlauf.
  5815.     Ihr System wurde angehalten" sehr unerfreulich. Dieser Fehler tritt näm-
  5816.     lich nicht sofort auf, sondern erst kurz nachdem das fehlerhafte Programm
  5817.     den Stapelspeicher zerstört hat. StackMan dagegen bemerkt die Zerstörung
  5818.     des Stacks und rekonstruiert ihn, ohne das laufende Programm abzubrechen.
  5819.  
  5820.     Auch wenn StackMan als Ersatz für den DOS-Befehl 'stacks' verwendet
  5821.     werden kann, hat es folgende zusätzliche Vorteile:
  5822.  
  5823.     In manchen Fällen können die speicherresidenten Programme zur Verwaltung
  5824.     des Interrupts 21h den zur Verfügung stehenden Stapelspeicherplatz über-
  5825.     fordern, vor allem wenn Sie ein Programm verwenden, das einen zu kleinen
  5826.     Stack eingerichtet hat, wie es bei einigen populären Swap-Programmen vor-
  5827.     kommt. Diese Programme mögen sich auf dem Computer des Programmentwick-
  5828.     lers fehlerfrei gezeigt haben, trotzdem können viele andere Benutzer Pro-
  5829.     bleme damit bekommen. StackMan kann eingesetzt werden, um jederzeit für
  5830.     DOS einen normalen Stack zur Verfügung zu haben.
  5831.  
  5832.     Um sicher zu sein, müßten alle speicherresidenten Programme einen eigenen
  5833.     Stack einrichten, aber das würde bedeuten, daß jedes von ihnen nur dafür
  5834.     etwas mehr Speicher belegen würde. Wenn nur 1% aller Benutzer diesen
  5835.     Stack benötigt, und alle anderen Computer ohne diesen Stack funktionie-
  5836.     ren, wäre es nicht besonders sinnvoll, in allen Fällen jedem Programm ei-
  5837.     nen eigenen Stack zur Verfügung zu stellen.
  5838.  
  5839.     StackMan wurde dafür entwickelt, Stack-Anforderungen von TSR-Programmen
  5840.     zu verwalten und diese Probleme zu lösen. Viele speicherresidente Pro-
  5841.     gramme können die von StackMan bereitgestellten Stacks gemeinsam verwen-
  5842.     den. Der Stack steht zur Verfügung, wenn ein speicherresidente Programm
  5843.     aktiviert wird, und wird wieder gelöscht, wenn das Programm die Kontrolle
  5844.     über das System wieder abgibt. Das spart natürlich Speicherplatz...
  5845.  
  5846.  
  5847.     Benutzung von StackMan
  5848.  
  5849.     Vor der Benutzung von StackMan wird empfohlen, die Anweisung "Stacks=0,0"
  5850.     in die Datei config.sys aufzunehmen. Andere Zahlenwerte (oder etwa die
  5851.  
  5852.  
  5853.  
  5854.                                      III - 58
  5855.  
  5856.  
  5857. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5858.  
  5859.  
  5860.     Standardwerte) zu verwenden, führt nur dazu, daß DOS wertvollen Speicher-
  5861.     platz verschwendet.
  5862.  
  5863.     Die Syntax für den Aufruf von StackMan ist:
  5864.  
  5865.         StackMan [[=] <Stack-Anzahl>,<Stack-Größe>] [<Optionen...>]
  5866.  
  5867.     Der beste Platz für den Aufruf von StackMan ist am Ende der Datei 
  5868.     autoexec.bat. Auf diese Weise verwenden die speicherresidenten Pro-
  5869.     gramme automatisch die von StackMan zur Verfügung gestellten Stacks.
  5870.     Falls erwünscht, kann StackMan in den hohen Speicherbereich geladen
  5871.     werden (loadhigh, ab DOS Version 5.0). Zum ersten Ausprobieren wird
  5872.     die Verwendung sehr großer Zahlenwerte empfohlen, wie etwa:
  5873.  
  5874.         StackMan = 18,384
  5875.  
  5876.     Nun verwenden Sie Ihren Computer wie gewöhnlich und probieren, ob
  5877.     bisherige Probleme vermieden werden können. Verwenden Sie alle speicher-
  5878.     residenten Programme die Sie haben, aktivieren Sie möglichst viele davon
  5879.     gleichzeitig. Verwenden Sie beispielsweise Ihr Modem, Ihre Maus usw.
  5880.     Es ist nicht erforderlich, große Programme auszuführen, da diese ihren
  5881.     eigenen großen Stack haben, und damit die Ergebnisse von StackMan nicht
  5882.     beeinflussen.
  5883.  
  5884.     Rufen Sie StackMan noch einmal auf. Sie sehen eine Meldung wie diese:
  5885.  
  5886.     ┌─────────────────────────────────────────────────────────────┐
  5887.     │                                                             │
  5888.     │   StackMan already installed, with 18 stacks of 384 bytes.  │
  5889.     │   Maximum stacks/space ever used:  6 stacks of 112 bytes.   │
  5890.     │                                                             │
  5891.     └─────────────────────────────────────────────────────────────┘
  5892.  
  5893.     Sie können nun die Zahlenwerte hinter dem ersten Aufruf von StackMan
  5894.     verringern. Sie sollten dabei ein wenig Spielraum nach oben einberechnen.
  5895.     Besondere Vorkommnisse sind schwer zu wiederholen. In dem oben gezeigten
  5896.     Beispiel wurden 6 Stacks einer maximalen Größe von 112 Bytes festge-
  5897.     stellt. Zuverlässig wäre in diesem Fall beispielsweise "StackMan=8,192".
  5898.  
  5899.     Wenn der erste von StackMan gemeldete Wert kleiner oder gleich 3 ist, und
  5900.     der zweite Wert nicht über 48 hinausgeht, können Sie Ihren Computer ganz
  5901.     ohne StackMan benutzen. In anderen Fällen können unwahrscheinliche Vor-
  5902.     kommnisse Ihren Computer abstürzen lassen und Sie sollten StackMan ver-
  5903.     wenden, um auch selten auftretende Probleme zu verhindern.
  5904.  
  5905.     Ab und zu ist es empfehlenswert, die Ausgabe von StackMan auzuschauen,
  5906.     um die Einstellungen zu optimieren und wachsenden Anforderungen an Stacks
  5907.     Ihres Systems zuvorzukommen.
  5908.  
  5909.     Wenn auch weiterhin einige der Probleme bestehen bleiben, können Sie ver-
  5910.     suchen, ob die Option -dos Ihnen weiterhelfen kann. Geben Sie folgende
  5911.     Befehlszeile ein, nachdem Sie den Computer neu gestartet haben:
  5912.  
  5913.         StackMan = 18,384 -dos -noirq
  5914.  
  5915.     Die Meldung von StackMan muß nun anders betrachtet werden: Der erste
  5916.  
  5917.                                      III - 59
  5918.  
  5919.  
  5920. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL III
  5921.  
  5922.  
  5923.     Wert zeigt immer die maximal zur Verfügung stehende Stack-Anzahl an, nur
  5924.     der zweite Wert, wieviel Platz die Stacks verbraucht haben, ist zuver-
  5925.     lässig. Wenn dieser Wert 48 überschreitet, sollten Sie erwägen, die
  5926.     Option -dos von StackMan zu verwenden.
  5927.  
  5928.     Wenn der erste Test zeigt, daß Sie StackMan auf jeden Fall verwenden
  5929.     müssen, sollten Sie die Option -noirq entfernen. Wenn nur DOS StackMan
  5930.     braucht, können Sie ihn beibehalten. Bei der Verwendung der Option -dos
  5931.     sollten zwei Stacks mehr eingerichtet werden, als Sie beim ersten Test
  5932.     ermittelt haben.
  5933.  
  5934.  
  5935.     Startoptionen
  5936.  
  5937.     Folgende Optionen können verwendet werden:
  5938.  
  5939.     -help
  5940.     Diese Option zeigt einen kleinen Hilfetext am Bildschirm.
  5941.  
  5942.     -dos
  5943.     Diese Option bewirkt, daß StackMan vor dem Aufruf von DOS einen
  5944.     frischen Stack bereitstellt. Dies kann Probleme verhindern, vor
  5945.     allem, wenn diese beim Starten oder Beenden von Programmen oder in
  5946.     Verbindung mit Shell-Programmen auftreten.
  5947.  
  5948.     -noirq
  5949.     Wenn Sie diese Option verwenden, so schaltet StackMan den Stack
  5950.     nicht um, wenn ein Interrupt auftritt. StackMan unterstützt dann
  5951.     nur noch die Option -dos und die gemeinsame Verwendung der Stacks
  5952.     von speicherresidenten Programmen, die für die Zusammenarbeit mit
  5953.     StackMan programmiert wurden.
  5954.  
  5955.     -hma
  5956.     Diese Option steht nur zur Verfügung, wenn DOS 5.0 oder eine
  5957.     spätere Version verwendet wird und DOS in die HMA geladen wird.
  5958.     (Dies wird mit der Anweisung "dos=high" in der Datei config.sys
  5959.     erreicht.) Die Option -hma kann nicht in Verbindung mit der
  5960.     Option -dos eingesetzt werden. StackMan wird mit der Option -hma
  5961.     angewiesen, die Stacks in dem von DOS nicht belegten Teil der HMA
  5962.     unterzubringen. Obwohl dies konventionellen Speicher spart,
  5963.     sollten Sie sehr gründlich Überprüfen, ob Ihr System diese Ver-
  5964.     wendung der HMA von StackMan erlaubt.
  5965.  
  5966.     
  5967.  
  5968.  
  5969.  
  5970.  
  5971.  
  5972.  
  5973.  
  5974.  
  5975.  
  5976.  
  5977.  
  5978.                                      III - 60
  5979.  
  5980.  
  5981. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  5982.  
  5983.  
  5984. KAPITEL IV. INFORMATIONEN FÜR FORTGESCHRITTENE ANWENDER
  5985.  
  5986.  
  5987. 1. Speicheranforderungen
  5988.  
  5989.      Benötigter freier Speicherplatz:
  5990.  
  5991.                               mind.               mind.
  5992.                               zum                 nach der
  5993.                               Laden:              Ausführung
  5994.  
  5995.      TbScan                   200 Kb
  5996.      TbScanX                  10 Kb               800 bytes
  5997.      TbCheck                  4 Kb                600 bytes
  5998.      TbUtil                   64 Kb
  5999.      TbClean                  96 Kb
  6000.  
  6001.      TbMem                    4 Kb                600 bytes
  6002.      TbFile                   5 Kb                2 Kb
  6003.      TbDisk                   4 Kb                800 bytes
  6004.      TbDriver                 5 Kb                3 Kb
  6005.  
  6006.      TbGarble                 4 Kb                600 bytes
  6007.  
  6008.  
  6009.     Sollten Sie sich für den Gebrauch einer Protokolldatei entscheiden, benö-
  6010.     tigt TbScan zusätzlich 16 KB Speicherplatz für den Protokolldatei-Puffer.
  6011.     Wenn TbScan sein eigenes Dateisystem benutzt, benötigt es weiteren Spei-
  6012.     cherplatz, um die Dateizuordnungstabelle im Speicher zu verwalten.
  6013. =>  Beachten Sie, daß der Speicherplatzbedarf unabhängig von der Anzahl der
  6014.     Signaturen ist. Ohne die derzeit benötigte Speichermenge erhöhen zu müs-
  6015.     sen, könnten mindestenes 2500 Signaturen verwaltet werden.
  6016.  
  6017.     Der von TbScanX benötigte Speicherplatz hängt von der Anzahl der Sig-
  6018.     naturen ab. Werden alle Fähigkeiten von TbScanX aktiviert benötigt es
  6019.     30 Kbyte um nach 1000 Familien-Signaturen zu suchen. Wenn Sie das Aus-
  6020.     lagern wählen, benötigt TbScanx nur 1 Kbyte Speicher. Auslagerung ist
  6021.     sowohl in den EMS- als auch den XMS-Speicher möglich. Das verbleibende
  6022.     1 Kbyte kann natürlich in den Hohen Speicher geladen werden.
  6023.  
  6024.     Bei der heuristischen Virenbeseitigung benötigt TbClean viel mehr Spei-
  6025.     cher, abhängig von der Größe der infizierten Datei. TbClean kann eben-
  6026.     falls Expanded Memory (EMS) nutzen.
  6027.  
  6028.  
  6029.     Reduzierung des Speicherbedarfs
  6030.  
  6031.     Die meisten PC-Benutzer versuchen, soviel freien DOS-Speicherplatz wie
  6032.     möglich zu behalten. Die speicherresidenten TBAV-Utilities (TbScanX,
  6033.     TbCheck, TbMem, TbFile, TbDisk und TbDriver) sind so programmiert, daß
  6034.     nur ein Mindestmaß an Speicherplatz belegt wird. Um den Speicherbedarf
  6035.     noch weiter einzuschränken, können Sie folgendes versuchen:
  6036.  
  6037.  
  6038.                                       IV - 1
  6039.  
  6040.  
  6041. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6042.  
  6043.  
  6044.     Laden Sie das Programm von der Config.Sys aus. Als Gerätetreiber mit
  6045.     "device=" geladen, hat das Programm kein Program Segment Prefix (PSP),
  6046.     wodurch Sie bei jedem TBAV-Utility 256 Byte sparen.
  6047.  
  6048.     Werden die TBAV-Utilities in der Autoexec.Bat aufgerufen, sollte dies
  6049.     vor der Definition der Umgebungsvariablen geschehen. DOS legt für jedes
  6050.     speicherresidente Programm eine Liste der Umgebungsvariablen an.
  6051.     Werden die Umgebungsvariablen nach dem Aufruf der speicherresidenten
  6052.     Programme definiert, wird kein weiterer Speicherplatz belegt.
  6053.  
  6054.  
  6055.     Benutzen Sie die Speicherauslagerung 
  6056.  
  6057.     Durch Verwendung einer der Optionen 'ems' oder 'xms' kann TbScanX sich
  6058.     selbst außerhalb des konventionellen Hauptspeichers installieren, so daß
  6059.     nur 1 KByte an Programmcode im DOS-Speicher verbleibt. Das Auslagern in
  6060.     den EMS-Speicher ist vorzuziehen.
  6061.  
  6062.     Wenn Sie DOS 5.0 oder eine neuere Version verwenden, so versuchen Sie,
  6063.     TbScanX in den hohen Speicherbereich (UMB) zu laden. Verwenden Sie hier-
  6064.     zu "loadhigh" in der autoexec.bat oder "devicehigh" in der config.sys.
  6065.     Um den Speicherbedarf im hohen Speicherbereich einzuschränken, ist es
  6066.     empfehlenswert, das Auslagern zu verwenden.
  6067.  
  6068.     Verwenden Sie die Prozessor-spezifische Version des jeweiligen TBAV-
  6069.     Utilities. Diese speziellen Versionen verwenden alle weniger Speicher-
  6070.     platz als die allgemeinen Versionen. Die für bestimmte Prozessoren opti-
  6071.     mierten Versionen sind in den von Thunderbyte unterstützten Mailboxen
  6072.     erhältlich.
  6073.  
  6074.  
  6075.  
  6076.  
  6077.  
  6078.  
  6079.  
  6080.  
  6081.  
  6082.  
  6083.  
  6084.  
  6085.  
  6086.  
  6087.  
  6088.  
  6089.  
  6090.  
  6091.                                       IV - 2
  6092.  
  6093.  
  6094. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6095.  
  6096.  
  6097. 2. TbSetup
  6098.  
  6099.  
  6100. 2.1. Hinweise zur Gestalt der Anti-Vir.Dat-Dateien
  6101.  
  6102.     Die Anti-Vir.Dat-Dateien befinden sich immer in demselben Verzeichnis wie
  6103.     die Programmdateien. Folglich befindet sich in jedem Verzeichnis Ihres
  6104.     Systems, das ausführbare Dateien enthält, eine eigene Anti-Vir.Dat-Datei.
  6105.     Einige der anderen Anti-Viren-Programme verfügen dagegen über eine ver-
  6106.     gleichbare Liste aller ausführbaren Dateien, die eine Art von 'Fingerab-
  6107.     drücken' der Dateien enthält. Diese 'Fingerabdrücke' befinden sich in
  6108.     einer einzigen, großen Datei, nicht in einzelnen kleinen Dateien in jedem
  6109.     Verzeichnis. Wir haben uns aus folgenden Gründen für Einzeldateien in ver-
  6110.     schiedenen Verzeichnissen entschieden:
  6111.  
  6112.     Eine Datei pro Verzeichnis ist leicht zu verwalten. Wollen Sie ein
  6113.     komplettes Produkt löschen, kann die dazugehörige Anti-Vir.Dat-Datei
  6114.     ebenfalls gelöscht werden.
  6115.  
  6116.     Die Informationsdatei benötigt weniger Platz, da die Pfadinformation
  6117.     nicht gespeichert werden muß.
  6118.  
  6119.     Die TBAV-Utilities arbeiten schneller, da sie nicht in einer großen
  6120.     Datei nach Informationen über eine bestimmte Datei suchen müssen.
  6121.  
  6122.     Die Installation in Netzwerkumgebungen ist einfacher und zuverlässiger.
  6123.     In Netzwerken ist es nicht ungewöhnlich, daß die gleichen Dateien an ver-
  6124.     schiedenen Arbeitsplätzen unterschiedlichen Laufwerksbezeichnungen zuge-
  6125.     ordnet sind. TBAV muß nicht unter diesem Problem leiden. In einer einzi-
  6126.     gen Informationsdatei, die das gesamte System abdeckt, müssen die Lauf-
  6127.     werksbezeichnungen ebenfalls gespeichert werden. Daher müßte jeder Ar-
  6128.     beitsplatzcomputer seine eigene Liste verwalten, und der Systembetreuer
  6129.     würde die Kontrolle verlieren.
  6130.  
  6131.  
  6132. 2.2. Format der TbSetup.Dat
  6133.  
  6134.     Das Editieren der TbSetup.Dat-Datei ist für eine Anlagen-spezifische In-
  6135.     stallation von TBAV sehr hilfreich (siehe IV-5). Daher sind einige Infor-
  6136.     mationen zum Format dieser Datei notwendig. Die TbSetup.Dat-Datei ist
  6137.     sehr einfach aufgebaut. Jede Zeile, die mit einem Semikolon (`;`) oder
  6138.     einem Prozentzeichen (`%`) beginnt oder die leer ist, wird als Kommentar-
  6139.     zeile behandelt. Die Dateien, die mit einem Prozentzeichen beginnen, wer-
  6140.     den von TbSetup im unteren Fenster auf dem Bildschirm angezeigt.
  6141.  
  6142.     Jeder Eintrag in der TbSetup.Dat Datei besteht aus vier Punkten:
  6143.  
  6144.     Der Dateiname. Er sollte in Großbuchstaben geschrieben sein und keine
  6145.     Leerstellen enthalten.
  6146.  
  6147.     Die Dateilänge im Hexadezimalsystem. Dieses Feld kann einen Platzhalter
  6148.     (`*`) enthalten, wenn keine exakte Dateilängenüberprüfung erforderlich
  6149.     ist.
  6150.  
  6151.  
  6152.                                       IV - 3
  6153.  
  6154.  
  6155. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6156.  
  6157.  
  6158.     Die 32-Bit-CRC-Prüfsumme der Datei im Hexadezimalsystem. Auch dieses
  6159.     Feld kann einen Platzhalter (`*`) beinhalten, wenn keine exakte Prüf-
  6160.     summenüberprüfung erforderlich ist.
  6161.  
  6162.     Die Hexadezimalzahl, die die Flags darstellt, die gesetzt werden
  6163.     sollen, wenn die Datei im System gefunden wird.
  6164.  
  6165.     Alle weiteren Zeilen stehen für Kommentare zu Verfügung:
  6166.  
  6167.  
  6168.     Folgende Flags (Markierungen) sind möglich:
  6169.  
  6170.     Bit 0:  (0001)  Die heuristische Analyse wird nicht durchgeführt.
  6171.     Bit 1:  (0002)  CRC-Veränderungen ignorieren (selbstmodifizierend)
  6172.     Bit 2:  (0004)  Prüfe alle Signaturen (LAN-Bootdatei-Abbilder)
  6173.     Bit 3:  (0008)  Read-Only-Attribut darf nicht verändert werden
  6174.     Bit 4:  (0010)  Das Programm wird speicherresident geladen
  6175.     Bit 5:  (0020)  Das Programm verwendet direkte Laufwerkszugriffe
  6176.     Bit 6:  (0040)  Das Programm darf Read-Only-Attribute löschen
  6177.     Bit 15: (8000)  Ein erneutes Interrupt-Einhaken von TbDriver ist
  6178.                         notwendig
  6179.  
  6180.     So können die Einträge in der TbSetup.Dat aussehen:
  6181.  
  6182.     ; Dateiname  Länge  32-Bit CRC  Flags   Kommentare
  6183.  
  6184.     ; Dateien, die den heuristischen Alarm von TbScan auslösen
  6185.     4DOS.COM     19FEA         *    0001    ;4Dos 4.0a
  6186.     AFD.COM      0FEFE  4B351A86    0001    ;AFD Debugger
  6187.     ARGV0FIX.COM 001D8  431E70C0    0001    ;Argv[0]fix
  6188.     EXE2COM.EXE  00BEA  49276F89    0001    ;Exe zu Com Konvertierungsutility
  6189.     KILL.EXE     00632  74D41811    0001    ;PcTools 6.0 Utility
  6190.     WATCH.COM    003E1  2353625D    0001    ;TSR-Überwachungs-Utility
  6191.  
  6192.     ; Dateien, die vollständig gescannt werden müssen, auf ALLE Viren:
  6193.     NET$DOS.SYS      *         *    0004    ;Abbild der Novell-Boot-Diskette
  6194.  
  6195.     ; Dateien ohne definierte Prüfsumme, selbstkonfigurierende Programme:
  6196.     Q.EXE            *         *    000A    ;Qedit (alle Versions)
  6197.     TBCONFIG.COM     *         *    000A    ;alle Versionen
  6198.  
  6199.  
  6200.     Neue Einträge vornehmen
  6201.  
  6202.     Wenn Sie Dateien besitzen, die in die Liste aufgenommen werden sollen, so
  6203.     informieren Sie uns bitte darüber! Wir hätten gerne eine Kopie dieser
  6204.     Dateien, um unsere Produkte ständig an die aktuellen Erfordernisse an-
  6205.     passen zu können. Sollten Sie auf ein Programm stoßen, daß den Alarm der
  6206.     heuristischen Analyse von TbScan auslöst, so könnte dies bereits ein Hin-
  6207.     weis auf eine solche Datei sein. Haben Sie die Option "V)alidate Program"
  6208.     im Alarmfenster von TbScan verwendet, wird TbSetup beim nächsten Mal den
  6209.     Wert `0001` als Flag anzeigen. Wenn Sie in einer Firma beschäftigt sind,
  6210.     in der auf mehreren Rechnern mehrere dieser Dateien installiert sind,
  6211.     können Sie sie in die TbSetup.Dat-Datei eintragen. Dazu starten Sie
  6212.     TbSetup und notieren sich die Dateilänge und 32-Bit-CRC-Prüfsumme, die
  6213.     am Bildschirm angezeigt wird. Fügen Sie die Werte in ihre Felder hinter
  6214.  
  6215.                                       IV - 4
  6216.  
  6217.  
  6218. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6219.  
  6220.  
  6221.     dem dazugehörenden Dateinamen in die TbSetup.Dat-Datei ein. Fügen Sie
  6222.     nun den Flag-Wert hinzu und starten Sie TbSetup noch einmal, um heraus-
  6223.     zufinden, ob das Programm die Dateien nun richtig erkennt.
  6224.  
  6225. =>   Beachten Sie: Wollen Sie ein Flag von Hand setzen oder löschen, so kön-
  6226.      nen Sie dies von der DOS-Befehlszeile aus tun, indem Sie die Optionen
  6227.      `set` bzw. `reset` verwenden:
  6228.  
  6229.         TbSetup TEST.EXE SET=0001
  6230.  
  6231.  
  6232.  
  6233. 2.3. TBAV-Installation auf mehreren Rechnern
  6234.  
  6235.      Sollten Sie TBAV auf vielen Rechnern innerhalb einer Firma zu instal-
  6236.      lieren haben, wäre es ermüdend, müßten Sie beispielsweise jedes einzel-
  6237.      ne TSR und jedes Disk-Utility auf jeder Maschine extra aufrufen, um
  6238.      TBAV beizubringen, welche Programme zulässig sind und welche nicht.
  6239.      Glücklicherweise ist dies nicht erforderlich. In diesem Abschnitt wer-
  6240.      den drei Beispiele präsentiert, die Ihnen zeigen, wie Sie die Instal-
  6241.      lation auf mehreren Rechnern vereinfachen können.
  6242.  
  6243.     1. Soll ein speicherresidentes Programm mit dem Namen TSRUTIL.EXE überall
  6244.        in der Firma benutzt werden soll, verwenden Sie TbSetup, um die Datei-
  6245.        länge und die Prüfsumme (CRC) festzulegen. Nun können Sie den Namen
  6246.        des Programms mit den anderen Informationen in die Datei TbSetup.Dat
  6247.        eintragen, erweitert um den Wert '0010'.
  6248.     
  6249.     Beispiel:
  6250.        TSRUTIL.EXE  01286  E387AB21  0010  ;Unser TSR-Utility
  6251.  
  6252.  
  6253.     2. Wenn beispielsweise ein Programm mit dem Namen DISKUTIL.EXE
  6254.        überall in der Firma installiert werden soll, verwenden Sie TbSetup,
  6255.        um die Dateilänge und die Prüfsumme (CRC) festzulegen. Nun können Sie
  6256.        den Namen des Programms mit den anderen Informationen in die Datei
  6257.        TbSetup.Dat eintragen, erweitert um den Wert '0020'.
  6258.    
  6259.     Beispiel:
  6260.        DISKUTIL.EXE  01286  E387AB21  0020  ;Unser DISK-Programm
  6261.  
  6262.  
  6263.     Wenn Sie jetzt TbSetup auf jedem Rechner ausführen (was Sie sowieso tun
  6264.     müssen), wird es das Utility erkennen und für dieses das entsprechende
  6265.     Flag für 'direkte Laufwerkszugriffe' setzen, so daß TbMem / TbDisk dies
  6266.     beim nächsten Aufruf des entsprechenden Programms erkenne und keinen
  6267.     Fehlalarm mehr auslösen.
  6268.  
  6269.     3. Wenn ein Utility, das z.B. den Namen UTIL.EXE trägt, im ganzen Be-
  6270.        trieb eingesetzt wird, und dieses Programm TbScan zu einer Falsch-
  6271.        anzeige veranlaßt, können Sie TbSetup vorgeben, die heuristische
  6272.        Analyse für dieses Programm zu unterlassen. Tragen Sie den Namen
  6273.        dieses Programms zusammen mit den anderen Informationen in die Datei
  6274.        TbSetup.Dat ein, erweitert um den Wert '0001'
  6275.  
  6276.  
  6277.                                       IV - 5
  6278.  
  6279.  
  6280. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6281.  
  6282.  
  6283.      Beispiel:
  6284.           UTIL.EXE  01286  E387AB21  0001  ;Unser utility
  6285.  
  6286.      Wenn Sie jetzt TbSetup auf jedem Rechner ausführen (was Sie sowieso tun
  6287.      müssen), wird es das Utility erkennen, und TbScan wird dieses nicht mehr
  6288.      der heuristischen Analyse unterziehen.
  6289.  
  6290.      Sehen Sie hierzu auch in der TbSetup.Dat-Datei nach.
  6291.  
  6292.  
  6293.  
  6294.  
  6295.  
  6296.  
  6297.  
  6298.  
  6299.  
  6300.  
  6301.  
  6302.  
  6303.  
  6304.  
  6305.  
  6306.  
  6307.  
  6308.  
  6309.  
  6310.  
  6311.  
  6312.  
  6313.  
  6314.  
  6315.  
  6316.  
  6317.  
  6318.  
  6319.  
  6320.  
  6321.  
  6322.  
  6323.  
  6324.  
  6325.  
  6326.  
  6327.  
  6328.  
  6329.  
  6330.  
  6331.  
  6332.  
  6333.  
  6334.  
  6335.  
  6336.  
  6337.  
  6338.  
  6339.  
  6340.  
  6341.  
  6342.                                       IV - 6
  6343.  
  6344.  
  6345. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6346.  
  6347.  
  6348. 3. TbScan
  6349.  
  6350. 3.1. Die heuristische Suche
  6351.  
  6352.     TbScan bietet mehr als ein einfacher Signaturen-Scanner. TbScan dis-
  6353.     assembliert die Datei während der Überprüfung. Das hat folgende drei
  6354.     Vorteile:
  6355.  
  6356.     1) Durch das Disassemblieren der Datei, also das Zurückübersetzen der
  6357.        Programmdatei in ihre Programmierbefehle, kann der Scanner die Stellen
  6358.        der Datei herausfinden, an denen sich ein Virus befinden könnte. Damit
  6359.        kann die Wahrscheinlichkeit von Fehlalarmen reduziert und die Ge-
  6360.        schwindigkeit erhöht werden.
  6361.  
  6362.     2) Es wird eine Algorithmendetektion möglich, mit der auch Viren gefunden
  6363.        werden können, die sich selbst verschlüsseln, und deren Signaturen dem
  6364.        Scanner ansonsten verborgen blieben.
  6365.  
  6366.     3) Es wird möglich, verdächtige Instruktionsabfolgen im Programmcode zu
  6367.        entdecken.
  6368.  
  6369.     Das Verfahren, mit dem verdächtige Instruktionssequenzen gefunden werden
  6370.     können, wird als 'heuristische Suche' bezeichnet. Es ist ein ausgespro-
  6371.     chen leistungsfähiges Verfahren, mit dessen Hilfe Sie neue oder modifi-
  6372.     zierte Viren entdecken und die Ergebnisse der Signaturenüberprüfung
  6373.     bestätigen können. Damit müssen Sie sich nicht darauf verlassen, daß der
  6374.     Händler Ihres Virenscanners den Virus kennt, den Sie vielleicht haben.
  6375.     Normalerweise kann ein Scanner Viren nur dann entdecken, wenn der Her-
  6376.     steller eine Exemplar des Virus besitzt, um eine entsprechende Signatur
  6377.     erstellen zu können. Mit der heuristischen Suche sind Signaturen nicht
  6378.     nötig, denn der Scanner entdeckt auch die Viren, die dem Hersteller nicht
  6379.     bekannt waren. Sie sollten die Bedeutung der heuristischen Suche nicht
  6380.     unterschätzen, da jeden Monat mindestens 50 neue Viren auftauchen. Und
  6381.     es ist es mehr als unwahrscheinlich, daß gerade die Hersteller von
  6382.     Virenscannern die ersten sind, die diese neuen Viren erhalten ...
  6383.  
  6384.  
  6385.     Heuristische Suche Stufe 1           Heuristische Suche Stufe 2
  6386.     -------------------------------      ----------------------------
  6387.     Immer eingeschaltet                  Nur mit Option 'heuristic'
  6388.                                          oder nach Entdecken eines
  6389.                                          Virus.
  6390.     Entdeckt 50% unbekannter Viren       Entdeckt 90% aller Viren
  6391.     Erzeugt fast nie falschen Alarm      Erzeugt wenige falsche Alarme
  6392.     Anzeige: 'wahrscheinlich infiziert'  Anzeige: 'möglicherweise infiziert ' 
  6393.  
  6394.     TEST.EXE <scanning...>        OK           (keine Abkürzugen)
  6395.     TEST.EXE <scanning...> R      OK           (nichts Wichtiges)
  6396.     TEST.EXE <scanning...> FRM
  6397.      möglicherweise infiziert von 
  6398.      einem unbekannten Virus                   (erreicht Stufe 2)
  6399.     TEST.EXE <scanning...> FRALM#
  6400.      wahrscheinlich infiziert von
  6401.      einem unbekannten Virus                   (erreicht Stufe 1)
  6402.  
  6403.     Wie wird bei der heuristischen Suche nun tatsächlich vorgegangen? Jedes
  6404.  
  6405.                                       IV - 7
  6406.  
  6407.  
  6408. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6409.  
  6410.  
  6411.     Programm enthält Befehle für den Prozessor Ihres PCs. Indem TbScan den
  6412.     Inhalt der Dateien untersucht und sie interpretiert, kann das Programm
  6413.     den Zweck der Instruktionen erkennen. Sollte der Zweck der Programm-
  6414.     anweisungen darin bestehen, Disketten zu formatieren oder Dateien zu
  6415.  
  6416.     infizieren, so wird TbScan eine Warnung ausgeben. Es gibt einige Instruk-
  6417.     tionsabfolgen, die für Viren ausgesprochen typisch sind, aber in normalen
  6418.     Programmen sehr unüblich sind. Jeder verdächtigen Instruktionsabfolge
  6419.     wird ein Buchstabe zugeordnet: eine Abkürzung für das Ergebnis der heu-
  6420.     ristischen Suche. Diesen Ergebnissen sind Zahlenwerte zugeordnet, die
  6421.     aufsummiert werden. Sobald die Gesamtzahl eine bestimmte Grenze über-
  6422.     schreitet, geht TbScan davon aus, daß die Datei einen Virus enthält.
  6423.  
  6424.  
  6425.     Es gibt zwei verschiedene Grenzwerte: Die erste ist relativ niedrig ange-
  6426.     setzt und kann daher auch von ganz normalen Programmen relativ schnell
  6427.     erreicht werden. Sobald diese Grenze erreicht ist, hebt TbScan die am
  6428.     Bildschirm angezeigten abgekürzten Meldungen der heuristischen Analyse
  6429.     hervor und erhöht den Zähler der 'suspected items' (verdächtige Einträ-
  6430.     ge). Wenn Sie die Option 'heuristic' nicht angegeben haben, meldet TbScan
  6431.     jedoch keinen Virus. Haben Sie die Option 'heuristic' angegeben, er-
  6432.     scheint die Meldung: 'möglicherweise infiziert von einem unbekannten
  6433.     Virus'. 
  6434.  
  6435.     Die zweite Grenze wird von vielen Viren erreicht, aber nicht von
  6436.     normalen Programmen. Sobald diese Grenze erreicht wird, gibt TbScan die
  6437.     folgende Meldung aus: 'wahrscheinlich infiziert von einem unbekannten
  6438.     Virus'.
  6439.  
  6440. =>  Beachten Sie: Da TbScan die heuristische Analyse nur in der Nähe der Ein-
  6441.     sprungstelle einer Datei durchführt, bemerkt das Programm nicht, daß man-
  6442.     che Disketten- und Festplattenutilities direkt auf den Datenträger
  6443.     schreiben und daß manche Programme TSR-Programme sind. Dies ist das Er-
  6444.     gebnis unserer Bemühungen, mögliche Fehlalarme zu vermeiden. Im Falle
  6445.     eines Virus befinden sich die schädliches bewirkenden Instruktionen immer
  6446.     in der Nähe der Einsprungstelle (ausgenommen, ein Virus ist größer als
  6447.     10 KByte), so daß TbScan die verdächtigen Befehle normalerweise findet.
  6448.  
  6449.  
  6450. 3.2. Integritätsprüfung
  6451.  
  6452.     Während des Scanvorgangs führt TbScan zusätzlich eine Integritätsprüfung
  6453.     durch. Rufen Sie TbSetup auf, um die Anti-Vir.Dat-Dateien zu erzeugen.
  6454.     Wenn diese Dateien in den Verzeichnissen Ihres Systems existieren,
  6455.     kontrolliert TbScan, ob die Informationen jeder gescannten Datei mit den
  6456.     in der Anti-Vir.Dat-Datei gespeicherten Informationen übereinstimmen.
  6457.     Durch eine Vireninfektion verändert sich eine Datei, und die gespeicherte
  6458.     Information stimmt nicht mehr mit der veränderten Datei überein. TbScan
  6459.     meldet dies. Es gibt keine Startoption, die diese Integritätsprüfung
  6460.     einschaltet: Wenn TbScan eine Anti-Vir.Dat-Datei findet, so wird die
  6461.     Integritätsprüfung automatisch durchgeführt. TbScan zeigt nur Meldungen
  6462.     an, die auf eine Vireninfektion hinweisen. Programme, die ihre
  6463.     Konfiguration in der Programmdatei selbst speichern, werden normalerweise
  6464.     nicht gemeldet. Wenn eine Datei jedoch von einem Virus befallen wurde,
  6465.     egal ob dieser bekannt oder unbekannt ist, werden dadurch lebenswichtige
  6466.     Teile der Datei verändert, und TbScan meldet Ihnen das zuverlässig!
  6467.  
  6468.                                       IV - 8
  6469.  
  6470.  
  6471. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6472.  
  6473.  
  6474.     Dennoch ist es möglich, daß sich die überprüfte Datei selbständig oder
  6475.     aus anderen Gründen regelmäßig verändert. In diesem Fall können Sie das
  6476.     Programm von einer Integritätsprüfung ausschließen, um zukünftige Fehl-
  6477.     alarme zu vermeiden. Dazu bietet Ihnen TbScan eine zusätzliche Menüoption
  6478.     an: 'V)alidation program' (Programm zulassen). Um weitere Informationen
  6479.     über diese Menüoption zu erhalten, lesen Sie bitte Seite 9 dieses Kapi-
  6480.     tels 'Programme zulassen' nach.
  6481.  
  6482.  
  6483. 3.3. Programme zulassen
  6484.  
  6485.     Sie brauchen dieses Kapitel nur dann, wenn Sie mit TbSetup Anti-Vir.Dat-
  6486.     Dateien angelegt haben. Ohne diese Dateien ist das Zulassen von Dateien
  6487.     als Option nicht verfügbar.
  6488.  
  6489.     Mit den meisten Programmen arbeitet TbScan erwartungsgemäß. Trotzdem gibt
  6490.     es einige Programme, die zur Vermeidung von Fehlalarmen eine besondere Be-
  6491.     handlung erfordern. Die meisten dieser Programme werden von TbSetup auto-
  6492.     matisch erkannt. Möglicherweise haben Sie aber einige Programm-Dateien
  6493.     auf Ihrem System, die den heuristischen Alarm von TbScan auslösen
  6494.     und/oder die sich regelmäßig verändern.
  6495.  
  6496.     Sollte eine Infektion alleine aufgrund der heuristische Analyse oder der
  6497.     Integritätsprüfung gemeldet werden, und eine Anti-Vir.Dat-Datei verfügbar
  6498.     sein, so bietet Ihnen TbScan im Virus-Alarmfenster eine zusätzliche Option
  6499.     an:
  6500.          'V)alidate program' 
  6501.  
  6502.     Sollten Sie davon überzeugt sein, daß das angezeigte Programm tatsächlich
  6503.     keinen Virus enthält, können Sie durch Drücken der Taste 'V' in der Anti-
  6504.     Vir.Dat-Datei die Information ablegen, daß die Datei in Zukunft zuge-
  6505.     lassen ist. In Zukunft wird die Datei dann nicht mehr mit einem Fehlalarm
  6506.     gemeldet.
  6507.  
  6508.     Es gibt zwei Möglichkeiten, ein Programm für zulässig zu erklären:
  6509.     bezieht sich der TbScan Virenalarm auf eine Dateiveränderung, bezieht
  6510.     sich auch die Zulassung nur auf künftige Dateiveränderungen; bezieht sich
  6511.     der Virenalarm auf die heuristische Analyse, bezieht sich auch die
  6512.     Zulassung nur auf die Ergebnisse der heuristischen Analyse. Ist die Datei
  6513.     von der heuristischen Analyse ausgeschlossen, so wird ihre Prüfsumme
  6514.     immer noch analysiert; ist die Datei von der Integritätsprüfung ausge-
  6515.     schlossen, wird TbScan noch immer eine heuristische Analyse durchführen.
  6516.  
  6517. =>  Wichtig: Haben Sie eine Datei ersetzt (z. B. durch eine neue Version,
  6518.     Software-Update, -Upgrade) ohne TbSetup erneut zu verwenden, wird TbScan
  6519.     Sie im Viren-Alarmfenster über die Dateiveränderung informieren. Wählen
  6520.     Sie in diesem Fall NIEMALS die Option für die Zulassung des Programms,
  6521.     denn dann wäre die Datei von jeder künftigen Integritätsprüfung ausge-
  6522.     schlossen. Sie brechen TbScan besser ab und starten TbSetup für die ver-
  6523.     änderten Dateien.
  6524.  
  6525.  
  6526. 3.4. Die Algorithmen
  6527.  
  6528.      Sobald TbScan mit der Überprüfung einer Datei beginnt, erscheinen an
  6529.  
  6530.  
  6531.                                       IV - 9
  6532.  
  6533.  
  6534. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6535.  
  6536.      Ihrem Bildschirm hinter dem Dateinamen Meldungen wie 'Looking' (suchen),
  6537.      'Checking' (prüfen), 'Tracing' (verfolgen), 'Scanning' (scannen) oder
  6538.      'Skipping' (übergehen).
  6539.  
  6540.  
  6541.      'Looking' (suchen)
  6542.  
  6543.      'Looking' bedeutet, daß TbScan die Programmeinsprungstelle in einem
  6544.      Schritt erfolgreich lokalisieren konnte. Der Programmcode konnte erkannt
  6545.      werden, so daß TbScan ohne zusätzliche Analyse weiß, wo es suchen muß.
  6546.      'Looking' wird bei den meisten Dateien verwendet werden, die zu bekann-
  6547.      ter Software gehören.
  6548.  
  6549.  
  6550.      'Checking' (prüfen)
  6551.  
  6552.      'Checking' bedeutet, daß TbScan die Programmeinsprungstelle erfolg-
  6553.      reich lokalisiert hat und nun einen Bereich von etwa 4 KByte um die
  6554.      Einsprungstelle scannt. Sollte die Datei infiziert sein, so befindet
  6555.      sich die Signatur des Virus in diesem Bereich. 'Checking' ist ein
  6556.      sehr schneller und zuverlässiger Scan-Algorithmus. 'Checking' wird bei
  6557.      den meisten Dateien verwendet werden, die nicht zu bekannter und weit-
  6558.      verbreiteter Software gehören.
  6559.  
  6560.      'Tracing' (verfolgen)
  6561.  
  6562.      'Tracing' bedeutet, daß TbScan erfolgreich eine Kette von Sprüngen
  6563.      oder Aufrufen nachvollzogen hat, wobei es die Einsprungstelle des Pro-
  6564.      gramms gefunden hat. Nun wird in einem Bereich von 4 KByte um die Ein-
  6565.      sprungstelle gescannt. Sollte die Datei infiziert sein, so befindet
  6566.      sich die Signatur des Virus in diesem Bereich. 'Tracing' wird haupt-
  6567.      sächlich für COM-Dateien benutzt, die TSR-Programme sind. Die meisten
  6568.      Viren veranlassen TbScan, den Tracing-Algorithmus einzusetzen.
  6569.  
  6570.      'Scanning' (scannen)
  6571.  
  6572.      'Scanning' bedeutet, daß TbScan beinahe die gesamte Datei scannt (abge-
  6573.      sehen vom Exe-Programmkopf, der keinen Virencode enthalten kann). Dieser
  6574.      Algorithmus wird dann eingesetzt, wenn 'Looking', 'Checking' oder
  6575.      'Tracing' nicht sicher genug sind. Das ist der Fall, wenn sich in der
  6576.      Programmeinsprungstelle Sprünge und Aufrufe finden lassen, die sich auf
  6577.      Code außerhalb des Scanbereichs beziehen. Das ist aber auch dann der
  6578.      Fall, wenn während der heuristischen Analyse etwas gefunden wird, das
  6579.      einer genaueren Untersuchung bedarf. 'Scanning' ist ein langsamer Scan-
  6580.      Algorithmus. Da bei diesem Verfahren immer die gesamte Datei und damit
  6581.      auch alle Datenbereiche bearbeitet werden, können häufiger Fehlalarme
  6582.      auftreten. Der 'Scanning'-Algorithmus wird eingesetzt, um Bootsektoren,
  6583.      SYS- und BIN-Dateien zu scannen.
  6584.  
  6585.      'Skipping' (übergehen)
  6586.  
  6587.      Die Meldung 'Skipping' erscheint bei SYS- und OVL-Dateien, was bedeutet,
  6588.      daß diese Dateien nicht gescannt werden. Da es viele SYS-Dateien gibt,
  6589.      die keinen Code enthalten (wie z.B. die CONFIG.SYS), ist es nicht sinn-
  6590.      voll, alle diese Dateien auf Viren zu prüfen.  Das Gleiche gilt für
  6591.      .OV?-Dateien. Viele Overlay-Dateien verdienen diese Bezeichnung gar
  6592.  
  6593.                                       IV - 10
  6594.  
  6595.  
  6596. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6597.  
  6598.  
  6599.     nicht, da ihnen der Exe-Programmkopf fehlt. Solche Dateien können von
  6600.     der DOS-Ebene aus nicht aufgerufen werden, was sie gegenüber direkten
  6601.     Virenangriffen genauso unverletzlich macht, wie es etwa .TXT-Dateien
  6602.     sind. Wenn die Infektion einer .OV?-Datei gemeldet wird, so handelt es
  6603.     sich um eine der wenigen Overlay-Dateien, die einen Exe-Programmkopf
  6604.     enthalten. Die Infektion war dann eine Folge des Überwachens des DOS-
  6605.     Exec-Aufrufs (Funktion 4Bh) durch den Virus, der damit die Programme
  6606.     und auch die echten Overlay-Dateien, die aufgerufen werden, infiziert.
  6607.  
  6608.  
  6609. 3.5. Die TbScan.Lng-Datei
  6610.  
  6611.     In der TbScan.Lng-Datei sind alle Texte enthalten, die von TbScan ange-
  6612.     zeigt werden. Diese Meldungen können Sie mit jedem ASCII-Editor über-
  6613.     setzen oder an Ihre Bedürfnisse anpassen.
  6614.     Die Meldungen werden durch ein Dollarzeichen ($) voneinander getrennt. In
  6615.     der ersten Meldung finden Sie unsere Adresse und Registrierungshinweise.
  6616.     Sie können diesen Text bei Bedarf ändern, und z. B. das Logo Ihrer Firma
  6617.     hinzufügen.
  6618.  
  6619.     Sie können der TbScan.Lng-Datei auch Farbcodes hinzufügen. Dem Farbcode
  6620.     geht das Zeichen '|' voran. Es lassen sich folgende Farbcodes einstellen
  6621.     (alle Nummern werden hexadezimal angegeben):
  6622.  
  6623.     Farbe               Vordergrund     Hervorhebung    Hintergrund
  6624.  
  6625.     Schwarz             00              08              00
  6626.     Blau                01              09              10
  6627.     Grün                02              0A              20
  6628.     Cyan                03              0B              30
  6629.     Rot                 04              0C              40
  6630.     Magenta             05              0D              50
  6631.     Gelb/Braun          06              0E              60
  6632.     Weiß/Grau           07              0F              70
  6633.  
  6634.     Beispiel: Um einen leuchtend grünen Buchstaben auf rotem Hintergrund zu
  6635.               erzeugen, müßte der Farbcode 0A+40=4A verwendet werden. Damit
  6636.               der Buchstabe zusätzlich blinkt, muß dem Resultat der Wert 80h
  6637.               hinzugezählt werden.
  6638.  
  6639.  
  6640.  
  6641.  
  6642.  
  6643.  
  6644.  
  6645.  
  6646.  
  6647.  
  6648.  
  6649.  
  6650.  
  6651.  
  6652.  
  6653.  
  6654.                                       IV - 11
  6655.  
  6656.  
  6657. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6658.  
  6659.  
  6660. 4. TbClean
  6661.  
  6662.     Um zu verstehen, wie ein Virenbeseitigungs-Programm funktioniert, müssen
  6663.     Sie zuerst wissen, wie ein Programm von einem Virus infiziert wird. Das
  6664.     Grundprinzip ist einfach. Ein Virus - selbst ein Programm - hängt sich
  6665.     selbst an das Ende einer Programmdatei an. Durch das Hinzufügen des
  6666.     Virencodes wird die Programmdatei länger. Das alleine reicht jedoch noch
  6667.     nicht aus, der Virencode muß auch noch ausgeführt werden. Dazu über-
  6668.     schreibt der Virus die ersten Bytes der Datei mit einem 'Sprung'-Befehl,
  6669.     die den Prozessor veranlaßt, zu dem Virencode zu springen. Der Virus
  6670.     erhält so die Kontrolle, wenn das Programm aufgerufen wird und gibt nach
  6671.     Beendigung seiner Aktivitäten die Kontrolle an das Originalprogramm
  6672.     weiter. Da die ersten Bytes der Datei von dem 'Sprung'-Befehl über-
  6673.     schrieben worden sind, muß der Virus eben diese Bytes als erstes wieder-
  6674.     herstellen. Danach braucht er nur noch an den Anfang des Originalpro-
  6675.     gramms zurückzuspringen, das in den meisten Fällen wie gewohnt arbeitet.
  6676.  
  6677.     Um ein infiziertes Programm von einem Virus zu befreien, müssen die vom
  6678.     Sprungbefehl zum Virencode überschriebenen Bytes unbedingt wiederherge-
  6679.     stellt werden. Da der Virus diese Bytes ebenfalls wiederherstellt, müssen
  6680.     die Originalbytes irgendwo im Virencode gespeichert sein. Das Virenbesei-
  6681.     tigungsprogramm sucht nach diesen Bytes, bringt sie an ihren Original-
  6682.     platz zurück und reduziert die Datei auf ihre ursprüngliche Länge.
  6683.  
  6684.  
  6685.     Es gibt zwei Grundtypen von Virenbeseitigungsprogrammen: konventionelle,
  6686.     für spezifische Typen von Viren und die wesentlich höher entwickelten,
  6687.     die ein viel breiteres Anwendungsspektrum bieten. Im folgenden werden
  6688.     beide Typen erläutert und die Unterschiede herausgestellt.
  6689.  
  6690.  
  6691.     Konventionelle Virenbeseitiger
  6692.  
  6693.     Bei der konventionellen Virenbeseitigung muß das Programm wissen, welcher
  6694.     Virus zu löschen ist. Nehmen wir an, Ihr System wäre vom Jerusalem/PLO-
  6695.     Virus befallen. Sie rufen Ihr Virenbeseitigungsprogramm auf; folgendes
  6696.     könnte geschehen:
  6697.  
  6698.  
  6699.  
  6700.  
  6701.  
  6702.  
  6703.  
  6704.  
  6705.  
  6706.  
  6707.  
  6708.  
  6709.  
  6710.  
  6711.  
  6712.  
  6713.  
  6714.  
  6715.                                       IV - 12
  6716.  
  6717.  
  6718. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6719.  
  6720.  
  6721.  
  6722.     Originalprogramm                      Infiziertes Programm
  6723.  
  6724.     +--------------+                      +--------------+
  6725.     | P            |                 100: |Sprung        |
  6726.     | r            |                      |zu 2487       |
  6727.     | o            |                      | o            |
  6728.     | g            |                      | g            |
  6729.     | r            |                      | r            |
  6730.     | a            |                      | a            |
  6731.     | m            |                      | m            |
  6732.     | m            |                      | m            |
  6733.     | c            |                      | c            |
  6734.     | o            |                      | o            |
  6735.     | d            |                      | d            |
  6736.     | e            |                      | e            |
  6737.     |              |                      |              |
  6738.     +--------------+                      +--------------+
  6739.                                     2487: |              |
  6740.                                           |  VIRUS!    P |
  6741.                                           |            r |
  6742.                                           |Sprung zu 100 |
  6743.                                           +--------------+
  6744.  
  6745.  
  6746.     Der konventionelle Cleaner: "Hey, diese Datei ist vom Jerusalem/PLO-Virus
  6747.     befallen. Ok, dieser Virus hat eine Größe von 1873 Bytes und überschreibt
  6748.     die ersten drei Bytes des Originalprogramms mit einem Sprung zu sich
  6749.     selbst. Die Originalbytes befinden sich am Offset 483 des Virencodes. Ich
  6750.     habe also diese Bytes zu nehmen, sie an den Beginn der Datei zu kopieren,
  6751.     die letzten 1873 Bytes der Datei zu löschen. Das war's dann!"
  6752.  
  6753.     Es gibt einige Fallstricke in einem Szenarium wie dem geschilderten.
  6754.     Das Virenbeseitigungsprogramm muß den Virus kennen, den es löschen soll.
  6755.     Es ist ihm unmöglich, einen ihm unbekannten Virus zu löschen. Der Virus
  6756.     muß exakt dem Virus entsprechen, den das Virenbeseitigungsprogramm kennt.
  6757.     Stellen Sie sich vor, was passieren würde, wenn der Virus aus dem oben
  6758.     beschrieben Beispiel modifiziert worden wäre, und seine Größe nun 1869
  6759.     statt 1873 Bytes betragen würde... Das Virenbeseitigungsprogramm würde
  6760.     zuviel löschen! Das ist keine Ausnahme, sondern passiert recht häufig,
  6761.     seit es so viele Mutanten gibt. Zum Beispiel besteht die Jerusalem/PLO-
  6762.     Virenfamilie aus mehr als 100 Mutanten.
  6763.  
  6764.  
  6765.     Umfassende Virenbeseitiger
  6766.  
  6767.     Ein umfassender Virenbeseitiger arbeitet nach dem Prinzip, daß jede Art
  6768.     von Virus - egal ob er in den "Signaturen-Charts" ist oder nicht - eine
  6769.     schlechte Neuigkeit ist. Aus diesem Grund arbeitet TbClean mit einem
  6770.  
  6771.  
  6772.  
  6773.  
  6774.  
  6775.  
  6776.                                       IV - 13
  6777.  
  6778.  
  6779. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6780.  
  6781.  
  6782.     völlig anderen Desinfektionsschema, welches bei fast allen Viren effektiv
  6783.     ist - TbClean braucht sie nicht einmal zu kennen. TbClean repräsentiert
  6784.     zwei Virenbeseitiger in einem: einen wiederherstellenden und einen heu-
  6785.     ristischen.
  6786.  
  6787.     Wiederherstellende Virenbeseitigung
  6788.  
  6789.     Diese Art der Virenbeseitigung benötigt eine Anti-Vir.Dat-Datei, die
  6790.     vor der Infektion von TbSetup erstellt worden sein muß. In dieser
  6791.     Datei werden viele Informationen gespeichert, wie z. B. die ursprüng-
  6792.     liche Dateigröße, die Bytes am Programmbeginn, eine verschlüsselte
  6793.     Prüfsumme, um das Resultat zu überprüfen, usw. Diese Informationen
  6794.     reichen aus, um nahezu jede Datei von Viren zu befreien, unabhängig
  6795.     davon, ob die Infektion von einem bekannten oder unbekannten Virus
  6796.     verursacht wurde. Das einzige, was das Virenbeseitigungsprogramm zu
  6797.     tun hat, ist die Wiederherstellung der Bytes am Programmanfang, die
  6798.     Reduktion der Datei auf ihre ursprüngliche Größe und das Überprüfen
  6799.     des Ergebnisses anhand der Prüfsumme.
  6800.  
  6801.  
  6802.     Heuristische Virenbeseitigung
  6803.  
  6804.     TbClean ist das erste Virenbeseitigungsprogramm der Welt mit einer
  6805.     heuristischen Virenbeseitigungsmethode. Bei diesem Verfahren benötigt
  6806.     TbClean keinerlei Informationen über den Virus und auch keine Informa-
  6807.     tionen über das Programm in seinem ursprünglichen Zustand. Diese Metho-
  6808.     de ist besonders dann hervorragend, wenn Ihr Computer von einem unbe-
  6809.     kannten Virus befallen wurde, und Sie die Anti-Vir.Dat-Dateien mit
  6810.     TbSetup nicht rechtzeitig erstellt haben.
  6811.  
  6812.     Im heuristischen Modus lädt TbClean die infizierte Datei und emuliert
  6813.     dabei den Programmcode. Das Programm arbeitet mit einer Kombination
  6814.     aus Disassemblieren, Emulieren und manchmal auch Ausführen, um die Ar-
  6815.     beitsweise des Virus zu verfolgen, und dabei das nachzumachen, was sonst
  6816.     der Virus tut. Sobald der Virus die Originalinstruktionen wiederher-
  6817.     stellt und zum ursprünglichen Programmcode zurückspringt, unterbricht
  6818.     TbClean die Emulation und bedankt sich bei dem Virus für seine Hilfe
  6819.     bei der Wiederherstellung der ursprünglichen Bytes.
  6820.  
  6821.     Der nun wiederhergestellte Programmbeginn wird in die Programmdatei
  6822.     auf der Festplatte oder Diskette zurückkopiert, und der Teil des Pro-
  6823.     gramms, der die Kontrolle nach dem Programmstart übernehmen wollte,
  6824.     wird gelöscht.
  6825.  
  6826.     Um ganz sicher zu gehen, wird die 'gesäuberte' Programmdatei an-
  6827.     schließend einer zusätzlichen Analyse unterzogen.
  6828.  
  6829.  
  6830.  
  6831.  
  6832.  
  6833.  
  6834.  
  6835.  
  6836.  
  6837.  
  6838.                                       IV - 14
  6839.  
  6840.  
  6841. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6842.  
  6843.  
  6844. 5. TbGensig
  6845.  
  6846. 5.1 Der Zweck von TbGenSig
  6847.  
  6848.     TbGenSig ist ein Programm, das eine Datei mit Signaturen zusammenstellen
  6849.     kann. Da die TBAV-Programme bei ihrem Vertrieb mit ihrer direkt verwend-
  6850.     baren Signaturen-Datei auf dem neueste Stand sind, brauchen Sie dieses
  6851.     Programm eigentlich gar nicht.
  6852.  
  6853.     Wenn Sie allerdings Ihre eigenen Viren-Signaturen erstellen möchten,
  6854.     brauchen Sie TbGenSig. Sie können hierzu veröffentlichte Signaturen ver-
  6855.     wenden oder Sie definieren eigene, wenn Sie mit der Struktur solcher
  6856.     Software genügend vertraut sind.
  6857.  
  6858.     In beiden Fällen brauchen Sie dies nur in Notfallsituationen zu tun, wenn
  6859.     nämlich Ihr Computer oder die Ihrer Firma von einem bisher unbekannten
  6860.     und bisher nicht erkannten Virus angegriffen wird. In diesem Fall ist es
  6861.     sehr zu empfehlen, einige Exemplare des Virus an Virenspezialisten zu
  6862.     senden, um die Virenscanner in die Lage zu versetzen, in der nächsten
  6863.     Version diesen neuen Virus zu erkennen.
  6864.  
  6865.     Es ist nicht möglich, in einem einzigen Handbuch alle Aspekte der Viren-
  6866.     jagd zu erklären, so daß dieser Text ausreichende Erfahrung und Kennt-
  6867.     nisse im Erstellen von Signaturen voraussetzt.
  6868.  
  6869.     TbGenSig sucht im aktuellen Verzeichnis nach der Datei 'UserSig.Dat'.
  6870.     Diese Datei sollte die Signaturen enthalten, die Sie der TBAV-Signaturen-
  6871.     Datei 'TbScan.Sig' hinzufügen möchten. TbGenSig überprüft den Inhalt der
  6872.     Datei UserSig.Dat und verwendet sie für die TbScan.Sig-Datei.
  6873.  
  6874.     Wenn Sie Ihre Signaturen verändern oder entfernen lassen möchten, müssen
  6875.     Sie nur die Datei UserSig.Dat verändern oder löschen und TbGenSig erneut
  6876.     aufrufen.
  6877.  
  6878.     TbGenSig gibt eine Liste aller Signaturen der TbScan.Sig-Datei am Bild-
  6879.     schirm aus.
  6880.  
  6881.  
  6882. 5.2. Signaturen definieren
  6883.  
  6884.     Das Format der Datei UserSig.Dat
  6885.  
  6886.     Sie können die Datei UserSig.Dat mit jedem Editor erzeugen oder verändern,
  6887.     der in der Lage ist, unformatierten Text auszugeben. Alle Zeilen, die mit
  6888.     einem ';' beginnen, sind Kommentarzeilen. TbGenSig ignoriert diese Zeilen.
  6889.  
  6890.     Zeilen, die mit '%' beginnen, werden im oberen TbGenSig-Fenster angezeigt.
  6891.  
  6892.     In der ersten Zeile wird der Name des Virus erwartet. Die zweite Zeile
  6893.     enthält ein oder mehrere Schlüsselworte. Die dritte Zeile enthält die
  6894.     Signatur selbst. Diese drei Zeilen zusammen werden als Signatur-Record
  6895.     bezeichnet.
  6896.  
  6897.  
  6898.  
  6899.  
  6900.                                       IV - 15
  6901.  
  6902.  
  6903. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6904.  
  6905.  
  6906.     Ein Signatur-Record sollte wie folgt aussehen:
  6907.  
  6908.         Test-Virus
  6909.         exe com inf
  6910.         abcd21436587abcd
  6911.  
  6912.     In der Signatur dürfen Leerzeichen verwendet werden; sie werden von
  6913.     TbGenSig ignoriert.
  6914.  
  6915.  
  6916.     Hinzufügen veröffentlichter Signatur
  6917.  
  6918.     Folgendes müssen Sie tun, um eine veröffentlichte Signatur hinzuzufügen:
  6919.  
  6920.     -   Verändern oder erstellen Sie die Datei UserSig.Dat. Die veröffent-
  6921.         lichte Signatur muß ins Format von TbGenSig umgewandelt werden.
  6922.  
  6923.     -   Verwenden Sie die Schlüsselworte COM EXE BOOT INF
  6924.  
  6925.         Sie erhalten etwa folgende Zeilen:
  6926.  
  6927.         Neuer Virus
  6928.         exe com boot inf
  6929.         1234abcd5678efab
  6930.  
  6931.     -   Starten Sie TbGenSig.
  6932.  
  6933.  
  6934.     Definieren einer Signatur mit TbScan
  6935.  
  6936.     Dieses Kapitel richtet sich an fortgeschrittene Benutzer, die eine
  6937.     TBAV.KEY-Datei oder eine Thunderbyte-Einsteckkarte besitzen.
  6938.  
  6939.     Auch wenn die TbScan.Sig-Datei ständig auf den neusten Stand gebracht
  6940.     wird, können jeden Tag neue Viren erzeugt werden, die damit den regu-
  6941.     lären Upgrade-Service überholen. Es ist deshalb möglich, daß Ihr
  6942.     Computer eines Tages von einem Virus befallen wird, der noch nicht
  6943.     in die Signaturen-Datei aufgenommen worden ist. TbScan wird in einem
  6944.     solchen Fall den Virus nicht immer entdecken, auch nicht unbedingt mit
  6945.     der heuristischen Suche. Wenn Sie überzeugt sind, daß Ihr System von
  6946.     einem Virus infiziert ist, ohne daß TbScan dies bestätigt, dann hilft
  6947.     Ihnen dieses Kapitel mit einem wertvollen Werkzeug, um undokumentierte
  6948.     Viren zu entdecken. Wir bieten Ihnen eine schrittweise Erklärung, wie
  6949.     Sie im Notfall eine Signatur erstellen, um Sie (zeitweise) zu Ihrer
  6950.     Kopie von TbScan.Sig hinzuzufügen.
  6951.  
  6952.     -   Kopieren Sie einige der infizierten Dateien in ein vorübergehend
  6953.         angelegtes Verzeichnis.
  6954.  
  6955.     -   Starten Sie den Computer erneut und booten Sie dabei von einer
  6956.         virenfreien und schreibgeschützten Diskette. Führen Sie AUF KEINEN
  6957.         FALL IRGENDEIN Programm des infizierten Systems aus, auch wenn Sie
  6958.         davon ausgehen, daß das Programm noch nicht infiziert ist.
  6959.  
  6960.  
  6961.  
  6962.                                       IV - 16
  6963.  
  6964.  
  6965. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  6966.  
  6967.  
  6968.     -   Starten Sie TbScan von einer schreibgeschützten Diskette aus. Geben
  6969.         Sie dabei die Startoption 'extract' an. Vergewissern Sie sich, daß
  6970.         das vorübergehend angelegte Verzeichnis mit den infizierten Dateien
  6971.         das Zielverzeichnis von TbScan ist. Die Option 'extract' bewirkt, daß
  6972.         TbScan die Dateien NICHT scannt, sondern statt dessen die ersten
  6973.         Instruktionen anzeigt, die an den Einsprungpunkten der infizierten
  6974.         Programme gefunden werden.
  6975.  
  6976. =>  Bitte beachten Sie die ausdrückliche Empfehlung, auch die Option
  6977.     'session' zu verwenden, um TbScan anzuweisen, eine log-Datei zu schrei-
  6978.     ben, die die Ausgabe des Programms protokolliert.
  6979.  
  6980.     -   Vergleichen Sie die von TbScan ermittelten 'Signaturen' miteinander.
  6981.         Sie könnten zum Beispiel wie folgt aussehen:
  6982.  
  6983.                 NOVIRUS1.COM    2E67BCDEAB129090909090ABCD123490CD
  6984.                 NOVIRUS2.COM    N/A
  6985.                 VIRUS1.COM      1234ABCD5678EFAB909090ABCD123478FF
  6986.                 VIRUS2.COM      1234ABCD5678EFAB901234ABCD123478FF
  6987.                 VIRUS3.COM      1234ABCD5678EFAB9A5678ABCD123478FF
  6988.  
  6989.     Wenn sich die 'Signaturen' völlig unterscheiden, so sind die Dateien
  6990.     entweder nicht infiziert, oder es handelt sich bei dem infizierenden
  6991.     Virus um einen polymorphen Virus. Ein solcher Virus kann in verschie-
  6992.     denen Codemustern auftreten, und es ist ein AVR-Modul notwendig, um
  6993.     ihn zu entdecken.
  6994.  
  6995.     -   Die 'Signaturen' können sich geringfügig unterscheiden. An solchen
  6996.         nicht übereinstimmenden Stellen können Sie als Platzhalter ein
  6997.         Fragezeichen '?' verwenden.
  6998.  
  6999.     Eine mögliche Signatur für den 'Virus' im obigen Beispiel könnte sein:
  7000.  
  7001.                 1234ABCD5678EFAB ?3 ABCD123478FF
  7002.  
  7003.     Das '?3' bedeutet, daß an dieser Stelle drei unbestimmte Bytes sein
  7004.     können, die bei der Überprüfung nicht kontrolliert werden.
  7005.  
  7006.     -   Fügen Sie die Signatur der Datei UserSig.Dat hinzu. Geben Sie dem
  7007.         Virus in der ersten Zeile seines Eintrags einen Namen. Geben Sie in
  7008.         der zweiten Zeile die folgenden Schlüsselworte an: COM, EXE, INF,
  7009.         ATE. In der dritten Ziele folgt nun die Signatur.
  7010.  
  7011.         Sie erhalten folgenden Text:
  7012.  
  7013.                 Neuer Virus
  7014.                 exe com ate inf
  7015.                 1234abcd5678efab?3abcd123478ff
  7016.  
  7017.     -   Starten Sie TbGenSig. Vergewissern Sie sich, daß sich die neue
  7018.         TbScan.Sig-Datei im selben Verzeichnis wie TbScan befindet.
  7019.  
  7020.                                       IV - 17
  7021.  
  7022.  
  7023. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  7024.  
  7025.  
  7026.     -   Lassen Sie TbScan das Verzeichnis mit den infizierten Dateien über-
  7027.         prüfen. TbScan sollte nun den Virus entdecken.
  7028.  
  7029.     -   Schicken Sie ein paar der infizierten Dateien an einen empfohlenen
  7030.         Virenexperten, vorzugsweise natürlich an uns.
  7031.  
  7032.     Gratulation! Sie haben ganz alleine eine Signatur erstellt! Nun können
  7033.     Sie alles nach dem neuen Virus durchsuchen lassen. Bedenken Sie jedoch,
  7034.     daß die durchgeführte Methode der Virensuche eine schnelle aber wenig
  7035.     gründliche Lösung des Virenproblems ist. Die erstellte Signatur könnte
  7036.     den Virus nicht in allen Fällen erkennen. Eine Signatur, die garantiert
  7037.     alle Formen eines Virus entdeckt, kann nur nach vollständiger Unter-
  7038.     suchung (Disassemblierung) des Virenprogrammcodes erstellt werden. Aus
  7039.     diesem Grund sollten Sie Ihre selbsterstellte Signatur auch nicht
  7040.     weiterverbreiten. Die von einem erfahrenen Anti-Viren-Fachmann zusammen-
  7041.     gesetzte Signatur sieht in den meisten Fällen völlig anders aus.
  7042.  
  7043.  
  7044.  
  7045. 5.3 Schlüsselworte
  7046.  
  7047.     Schlüsselworte werden für verschiedene Zwecke verwendet. Sie lassen sich
  7048.     in Kategorien einteilen. Schlüsselworte können durch Leertasten, Kommata
  7049.     oder Tabulatoren voneinander getrennt werden. Zeilen können maximal
  7050.     80 Bytes lang sein.
  7051.  
  7052.     Wenigstens eine der folgenden Anweisungen müssen angeben werden:
  7053.     BOOT, COM, EXE, HIGH, LOW, SYS oder WIN.
  7054.  
  7055.  
  7056.     Anweisungs-Schlüsselworte
  7057.  
  7058.     BOOT    Die Signatur kann im Bootsektor/Partitionstabelle gefunden
  7059.             werden.
  7060.  
  7061.     COM     Die Signatur kann in COM-Programmen gefunden werden.
  7062.  
  7063.     Diese Anweisung läßt den Scanner diese Signatur in ausführbaren Dateien
  7064.     suchen, die keinen 'EXE-header' oder 'device-header' haben.
  7065. =>  Beachten Sie: Der Dateiinhalt bestimmt den Dateityp, nicht die Erweite-
  7066.                   rung des Dateinamens!
  7067.  
  7068.     EXE     Die Signatur kann in EXE-Programmen gefunden werden.
  7069.  
  7070.     Diese Anweisung läßt den Scanner diese Signatur im Lademodul von EXE-
  7071.     Dateien suchen. EXE-Dateien sind Dateien, die einen EXE-header enthalten.
  7072. =>  Beachten Sie: Der Dateiinhalt bestimmt den Dateityp, nicht die Erweite-
  7073.                   rung des Dateinamens!
  7074.  
  7075.     HIGH    Die Signatur kann im oberen Speicherbereich (oberhalb der Pro-
  7076.             gramme) gefunden werden. Diese Anweisung läßt den Scanner die
  7077.             Signatur oberhalb des Speicherbereichs suchen, der vom Scanner
  7078.             belegt ist. 
  7079.  
  7080.  
  7081.  
  7082.  
  7083.  
  7084.                                       IV - 18
  7085.  
  7086.  
  7087. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  7088.  
  7089.  
  7090.     Damit können Viren entdeckt werden, die schon beim Booten Speicher
  7091.     belegen oder die die Größe des letzten MCBs (Memory Control Block)
  7092.     verkleinern.
  7093. =>  Beachten Sie: Die Anweisung HIGH meint nicht, daß Viren im hohen Spei-
  7094.                   cherbereich (UMB = Upper Memory Blocks) gesucht werden.
  7095.  
  7096.  
  7097.     LOW     Die Signatur kann im unteren Speicherbereich gefunden werden.
  7098.             Diese Anweisung läßt den Scanner die Signatur im Speicher unter-
  7099.             halb des PSP (Program Segment Prefix) des Scanners und im hohen
  7100.             Speicherbereich (UMB Upper Memory Blocks) suchen.
  7101.  
  7102.     Diese Anweisung ist für Viren gedacht, die sich bereits im Speicher be-
  7103.     finden und hierfür den DOS-TSR-Funktionsaufruf verwendet haben.
  7104.  
  7105.     SYS     Die Signatur kann in SYS-Programmen gefunden werden.
  7106.  
  7107.     WIN     Die Signatur kann in Windows-Programmen gefunden werden.
  7108.  
  7109.  
  7110.     Meldungs-Schlüsselworte
  7111.  
  7112.     DAM     Meldungspräfix:     'zesrtört von'.
  7113.     DROP    Meldungspräfix:     'Schlepper von'.
  7114.     FND     Meldungspräfix:     'gefunden'.
  7115.     INF     Meldungspräfix:     'infiziert von'    Meldungssuffix: 'Virus'
  7116.     JOKE    Meldungspräfix:     'Witzprogramm namens'.
  7117.     OVW     Meldungspräfix:     'überschrieben von'.
  7118.     PROB    Meldungsprä-Präfix: 'wahrscheinlich'.
  7119.     TROJ    Meldungspräfix:     'Trojanisches Pferd namens'.
  7120.  
  7121.  
  7122.     Positions-Schlüsselworte
  7123.  
  7124.     UATE    Die Signatur soll am definierten Einsprungpunkt (Unresolved
  7125.             (AT) Entry point) gefunden werden.
  7126.  
  7127.     Zweck:
  7128.     Die Signatur startet direkt am definierten Einsprungpunkt des Virencodes.
  7129.     Bei manchen polymorphen Viren kann es möglich sein, eine Signatur von der
  7130.     Entstellungs-Routine zu machen, allerdings kann diese zu klein sein oder
  7131.     Fehlalarme bei einer umfassenden Suche auslösen. Eine Verzweigungs-Rou-
  7132.     tine am Anfang kann Teil der Signatur sein.
  7133.  
  7134.             Dateien vom Typ COM :     Beginn der Datei (IP 0100h).
  7135.             Dateien vom Typ EXE :     CS:IP wie im EXE-Header definiert.
  7136.             Dateien vom Typ WIN :     Non-DOS CS:IP des neuen EXE-Header.
  7137.  
  7138.  
  7139.                                       IV - 19
  7140.  
  7141.  
  7142. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  7143.  
  7144.  
  7145.     Anmerkung:
  7146.     Das Schlüsselwort UATE ist nicht für Signaturen vom Typ BOOT, SYS, LOW,
  7147.     HMA oder HIGH erlaubt.
  7148.  
  7149.     ATE     Die Signatur soll am tatsächlichen Beginn (AT Entry point)
  7150.             gesucht werden.
  7151.  
  7152.     Zweck:
  7153.     Die Signatur startet direkt am tatsächlichen Beginn des Virencodes. Bei
  7154.     manchen polymorphen Viren kann es möglich sein, eine Signatur von der
  7155.     Entstellungs-Routine zu machen, allerdings kann diese zu klein sein oder
  7156.     Fehlalarme bei einer umfassenden Suche auslösen.
  7157.  
  7158.     Das Schlüsselwort ATE wird verwendet, um sicherzustellen, daß der Scanner
  7159.     nicht in der gesamten Datei, sondern nur am Einsprungspunkt nach der Sig-
  7160.     natur sucht. 
  7161.  
  7162.     Der Einsprungpunkt eines Virus ist als das erste Byte definiert, das
  7163.     keine JUMP SHORT-, JUMP LONG- oder CALL NEAR-Anweisung darstellt.
  7164.  
  7165.                 Definierter Einsprungpunkt:   1    JUMP LONG 3
  7166.                                               2    ...
  7167.                                               3    JUMP SHORT 5
  7168.                                               4    ...
  7169.                                               5    CALL FAR 7
  7170.                                               6    ...
  7171.                                               7    CALL NEAR 9
  7172.                                               8    ...
  7173.                 Tatsächlicher Einsprungpunkt: 9    POP <reg>
  7174.  
  7175.             Der Einsprungpunkt des oben aufgeführten Fragmentes ist die
  7176.             Zeile 9, da sie die erste ausführbare Anweisung enthält, die
  7177.             kein JUMP SHORT, JUMP LONG oder CALL NEAR oder CALL FAR ist.
  7178.  
  7179.         Anmerkungen:
  7180.         1)  Der Einsprungspunkt kann von einem Code-Analysator bestimmt
  7181.             werden, um mit Tricks wie NOP- oder DEC-Instruktionen gerade vor
  7182.             der Verzweigungsinstruktion fertig zu werden. Daher sind die
  7183.             Ergebnisse des Scanners sorgfältig zu überprüfen. In Problem-
  7184.             fällen kann die TbScan-Option 'extract' verwendet werden, um
  7185.             herauszufinden, was TbScan als Einsprungpunkt des Programms be-
  7186.             trachtet.
  7187.  
  7188.         2)  Das Schlüsselwort ATE ist nicht für Signaturen vom Typ BOOT,
  7189.             SYS, LOW, HMA oder HIGH erlaubt.
  7190.  
  7191.     XHD     Die Signatur kann am Offset 2 der Datei mit EXE-Typ gefunden
  7192.             werden.
  7193.  
  7194.     Zweck:
  7195.     Dieses Positions-Schlüsselwort wird selten benutzt. Es sollte nur verwen-
  7196.     det werden, um die wirklich sehr seltenen Hochsprachen-Viren zu entdek-
  7197.     ken. Diese Viren werden in einer Hochsprache wie C oder Basic program-
  7198.     miert. Sie verwenden Standard- und Bibliotheksroutinen, die nicht geeig-
  7199.  
  7200.                                       IV - 20
  7201.  
  7202.  
  7203. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  7204.  
  7205.  
  7206.     net sind, um eine Signatur zu erstellen. Das Schlüsselwort XHD kann als
  7207.     letzter Versuch dienen, um solche Viren aufzuspüren.
  7208.  
  7209.     Anmerkung:
  7210.     Das Schlüsselwort XHD sollte nur für Signaturen beim Typ EXE oder WIN
  7211.     verwendet werden.
  7212.  
  7213.    
  7214.  
  7215. 5.4. Platzhalter
  7216.  
  7217.     In einer Viren-Signatur können Platzhalter anstelle von Bytes verwendet
  7218.     werden, um sogenannten polymorphen (sich selbst modifizierend/mutierend)
  7219.     zu erkennen. Es folgt eine Beschreibung der Schreibweise der Platzhalter.
  7220.     Alle Zeichen sind hexadezimal dargestellt.
  7221.  
  7222.  
  7223.     Positions-Platzhalter.
  7224.  
  7225.     Positions-Platzhalter beeinflussen die Position der Signaturteile, die
  7226.     mit dem Virencode verglichen werden.
  7227.  
  7228.         Skip
  7229.         ?n   =  Überspringe (skip) n Bytes und fahre fort.
  7230.         ?@nn =  Überspringe nn Bytes und fahre fort.
  7231.                 nn soll 7F nicht überschreiten.
  7232.  
  7233.         Variable
  7234.         *n   =  Überspringe bis zu n Bytes.
  7235.         *@nn =  Überspringe bis zu nn bytes und fahre fort.
  7236.                 nn sollte 1F nicht überschreiten.
  7237.  
  7238.  
  7239.  
  7240.     Opcode-Platzhalter.
  7241.  
  7242.     Der 'opcode'-Platzhalter ist gedacht, um einen Bereich von Instruktionen
  7243.     abzudecken:
  7244.  
  7245.         Low opcode
  7246.         nL   =  Ein Wert im Bereich von n0-n7.
  7247.  
  7248.         High opcode
  7249.         nH   =  Ein Wert im Bereich von n8-nF.
  7250.  
  7251.     Beabsichtigte Verwendung für den 'opcode'-Platzhalter:
  7252.  
  7253.     Nehmen wir an, ein polymorpher Virus stellt einen Wert in ein Word-
  7254.     Register (unter Verwendung der MOV WREG,VALUE-Instruktion), inkrementiert
  7255.     ein Register (mit der INC WREG-Instruktion) und schiebt ein Word-Register
  7256.     vom Stack (mit einer POP-Instruktion). Die Register und die Werte sind
  7257.     dabei unbestimmt. 
  7258.  
  7259.     Der Code könnte wie folgt aussehen:
  7260.             bh4l5h
  7261.  
  7262.  
  7263.                                       IV - 21
  7264.  
  7265.  
  7266. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  7267.  
  7268.  
  7269.     B8-BF sind die Opcodes für 'MOV WREG,VALUE', 40-47 sind die opcodes für
  7270.     'INC WREG' und 58-5F sind die Opcodes für 'POP REG'.
  7271.  
  7272.  
  7273.     Beispiel
  7274.  
  7275.     Um die Möglichkeiten der Benutzung der geeigneten Schlüsselworte und
  7276.     Platzhalter zu zeigen, wird hier die Signatur des Haifa.Mozkin-Virus
  7277.     vorgetellt.
  7278.  
  7279.     Dieser Virus ist in höchstem Maße polymorph und verschlüsselt. Er ver-
  7280.     wendet einen kleinen variablen Entschlüssler, um den Virus zu ent-
  7281.     schlüsseln.
  7282.  
  7283.     Hier gibt es zwei Probleme: Die meisten Bytes sind verschlüsselt oder
  7284.     variabel und nicht als Teil einer Signatur geeignet, und der Rest ist
  7285.     kurz und könnte dutzende Fehlalarme auslösen.
  7286.  
  7287.     Allerdings ist es mit den geeigneten Schlüsselworten und Platzhaltern
  7288.     möglich, eine passende Signatur zu erstellen. Die folgende Signatur
  7289.     wird von TbScan verwendet, um den Haifa.Mozkin-Virus zu finden.
  7290.  
  7291.         Haifa.Mozkin
  7292.         com exe ate inf
  7293.         bh?2bh?109?2*22e80?24l4h75fl
  7294.  
  7295.     Untersuchen wir die Signatur:
  7296.  
  7297.     Die erste Zeile gibt den Namen des Virus an.
  7298.  
  7299.     Die zweite Zeile teilt dem Scanner mit, die Signatur in Dateien vom
  7300.     Typ COM und EXE zu suchen. Der Scanner soll die Datei als infiziert
  7301.     melden, wenn eine Übereinstimmung gefunden wird. Das Schlüsselwort ATE
  7302.     weist den Scanner an, die Signatur nur am tatsächlichen Einsprungpunkt
  7303.     der Datei zu suchen. Der Virus beginnt natürlich mit der Entschlüsselung
  7304.     von sich selbst, so daß der Scanner garantiert diese Stelle erreicht.
  7305.     Das Schlüsselwort ATE reduziert die Suche der Signatur nur auf eine
  7306.     bestimmte Stelle der Datei, wodurch die Möglichkeit von Fehlalarmen
  7307.     deutlich verringert wird.
  7308.  
  7309.     Die dritte Zeile enthält die Definition der Signatur. Sehen wir uns
  7310.     diese jetzt genauer an:
  7311.  
  7312.     bh?2        Bedeutung: ein Byte im Bereich B8-BF, gefolgt von zwei be-
  7313.                 liebigen Bytes. B8-BF ist eine 'MOV WREG,VALUE'-Instruktion.
  7314.                 Von dem Register wissen wir nur, daß es sich um ein Word-
  7315.                 Register handelt, dessen Wert unbekannt ist.
  7316.  
  7317.     bh?109      Bedeutung: eine andere 'MOV WREG,VALUE'-Instruktion. Das
  7318.                 Register ist ein Word-Register, der Wert liegt zwischen
  7319.                 0900 und 09FF.
  7320.  
  7321.  
  7322.                                       IV - 22
  7323.  
  7324.  
  7325. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             KAPITEL IV
  7326.  
  7327.  
  7328.     ?2*2        Bedeutung: Überspringe zwei bis vier Bytes. Viren versuchen
  7329.                 so, die Erstellung von Signaturen zu erschweren.
  7330.  
  7331.     2e80?2      Bedeutung: der Virus führt eine arithmetische Operation in
  7332.                 Bytegröße aus, mit einem sofortigen Ergebnis (entschlüsselt
  7333.                 ein Byte) unter Übergehung des CS-Segments. Die genaue
  7334.                 Operation, der Speicherplatz und der Wert sind unbekannt.
  7335.  
  7336.     4l          Bedeutung: ein Byte im Bereich 40-47. Dies ist eine 'INC
  7337.                 WREG'-Instruktion. Die Viren erhöhen den Zähler auf das
  7338.                 nächste Byte, das entschlüsselt werden soll.
  7339.  
  7340.     4h          Bedeutung: ein Byte im Bereich 48-4F. Dies ist eine 'DEC
  7341.                 WREG'-Instruktion. Die Viren verringern die Iterationszahl.
  7342.  
  7343.     75fl        Opcode 75 ist eine JNZ-Instruktion. Wenn das verringerte
  7344.                 Register noch nicht gleich Null ist, springt der Virus zurück
  7345.                 und wiederholt die Operation. Wie weit springt er? Das sagt
  7346.                 der Teil 'fl': zwischen -70h (F0h) und -77h (F7h) Bytes.
  7347.  
  7348.  
  7349.     Auch wenn die Möglichkeiten der Signaturenbeschreibungssprache von
  7350.     TbGenSig wirklich sehr vielfältig sind, so gibt es doch Viren, die so
  7351.     hochgradig polymorph sind, daß sie noch speziellere Platzhalter,
  7352.     Schlüsselworte oder noch raffiniertere Untersuchungsalgorithmen er-
  7353.     fordern. Die Erklärung dieser Platzhalter, Schlüsselworte und Algo-
  7354.     rithmen wäre jedoch so aufwendig, daß sie den Rahmen dieses Handbuches
  7355.     sprengen würde.
  7356.  
  7357.  
  7358.  
  7359.  
  7360.  
  7361.  
  7362.  
  7363.  
  7364.  
  7365.  
  7366.  
  7367.  
  7368.  
  7369.  
  7370.  
  7371.  
  7372.  
  7373.                                       IV - 23
  7374.  
  7375.  
  7376. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG A
  7377.  
  7378.  
  7379. ANHANG A. TBAV-Meldungen
  7380.  
  7381.  
  7382.      The TBAV Utilities zeigen während ihrer Ausführung zahlreiche Meldungen
  7383.      an. Die meisten davon sind eindeutig. Hier erhalten Sie einige er-
  7384.      gänzende Hinweise.
  7385.  
  7386.  
  7387.      
  7388. TbClean
  7389.  
  7390.  
  7391.     Starting clean attempt. Analyzing infected file ...
  7392.     Start des Wiederherstellungsversuchs. Analysiere infizierte Datei...
  7393.  
  7394.         TbClean analysiert die infizierte Datei und versucht die Informa-
  7395.         tionen der Anti-Vir.Dat-Datei zu finden.
  7396.  
  7397.     Anti-Vir.Dat record found: reconstructing original state ...
  7398.     Anti-Vir.Dat-Informationen gefunden: Rekonstruiere Original-Status...
  7399.  
  7400.         Die zur infizierten Datei gehörenden Informationen der Anti-Vir.Dat-
  7401.         Datei wurden gefunden. TbClean verwendet diese Informationen für die
  7402.         Wiederherstellung der Datei.
  7403.  
  7404.     Anti-Vir.Dat record found: information matches the current state of
  7405.     file. Anti-Vir.Dat file was created after the infektion. Trying
  7406.     emulation ...
  7407.     Anti-Vir.Dat-Informationen gefunden: Informationen stimmen mit der Datei
  7408.     überein. Anti-Vir.Dat wurde nach der Infektion erstellt. Versuche
  7409.     Emulation...
  7410.    
  7411.         Die zur infizierten Datei gehörenden Informationen der Anti-Vir.Dat-
  7412.         Datei wurde gefunden, aber die Informationen stimmen mit dem aktu-
  7413.         ellen Zustand der Datei völlig überein. Die Anti-Vir.Dat-Datei wurde
  7414.         erstellt, nachdem die Datei infiziert wurde, oder die Datei wurde
  7415.         überhaupt nicht verändert. TbClean wird die Emulation verwenden, um
  7416.         die Datei mit der heuristischen Methode zu säubern.
  7417.  
  7418.     Reconstruction failed. Program might be overwritten. Trying emulation...
  7419.     Wiederherstellung fehlgeschlagen. Programm möglicherweise überschrieben.
  7420.     Versuche Emulation...
  7421.  
  7422.         TbClean hat mit Hilfe der Informationen, die in der Anti-Vir.Dat-
  7423.         Datei gespeichert waren, versucht, die Originaldatei wiederherzu-
  7424.         stellen. Doch dieser Versuch schlug fehl. TbClean wird die Emulation
  7425.         verwenden, um die Datei mit der heuristischen Methode zu säubern.
  7426.  
  7427.     Reconstruction successfully completed.
  7428.     Wiederherstellung erfolgreich beendet.
  7429.  
  7430.         Mit Hilfe der Informationen der Anti-Vir.Dat-Datei konnte der ur-
  7431.         sprüngliche Zustand der Datei wiederhergestellt werden. Die CRC
  7432.         (Prüfsumme) der Originaldatei und die der virenbefreiten Datei
  7433.         stimmen vollständig überein. Folglich stimmt die virenbefreite Datei
  7434.         mit größter Sicherheit mit der Originaldatei überein.
  7435.  
  7436.  
  7437. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG A
  7438.  
  7439.  
  7440.     Anti-Vir.Dat record not found: original state unknown.
  7441.     Trying emulation...
  7442.     Anti-Vir.Dat-Informationen nicht gefunden. Original-Status unbekannt.
  7443.     Versuche Emulation...
  7444.  
  7445.        Die Anti-Vir.Dat-Datei existiert nicht oder enthält keine Informatio-
  7446.        nen über die infizierte Datei. Daher ist TbClean der ursprüngliche
  7447.        Zustand der Datei nicht bekannt. TbClean wird in seinen heuristischen
  7448.        Modus wechseln, um den Zustand der Originaldatei zu ermitteln.
  7449.  
  7450.        Beachten Sie: Um eine Situation wie diese zu vermeiden, sollten Sie
  7451.        sich vergewissern, daß Sie mit TbSetup die Anti-Vir.Dat-Dateien er-
  7452.        stellt haben. Diese Dateien sind für TbClean äußerst hilfreich. Wenn
  7453.        die Datei bereits infiziert ist, ist es zum Erstellen der Anti-
  7454.        Vir.Dat-Dateien bereits zu spät.
  7455.  
  7456.  
  7457.     Emulation terminated: <reason>
  7458.     Emulation beendet: <Grund>
  7459.  
  7460.         Der Emulationsvorgang wurde aus dem angeführten Grund abgebrochen.
  7461.         TbClean wird nun die gesammelten Informationen prüfen, um zu ent-
  7462.         scheiden, ob die Datei wiederhergestellt werden kann.
  7463.  
  7464.         Ein <Grund> dafür kann sein:
  7465.  
  7466.         Jump to BIOS code
  7467.         Sprung in den BIOS-Code
  7468.  
  7469.                 Der Virus versucht BIOS-Code aufzurufen oder direkt in den
  7470.                 BIOS-Code zu springen. Dieser Vorgang kann nicht emuliert
  7471.                 werden und wird daher abgebrochen. Das Programm kann wahr-
  7472.                 scheinlich nicht vom Virus befreit werden.
  7473.  
  7474.         Approached stack crash.
  7475.         Nähert sich einem Stack-Zusammenbruch.
  7476.  
  7477.                 Das emulierte Programm nähert sich einem Zusammenbruch.
  7478.                 Während das Programm emuliert wurde, ging etwas schief. Daher
  7479.                 wird es abgebrochen. Das Programm kann wahrscheinlich nicht
  7480.                 wiederhergestellt werden.
  7481.  
  7482.  
  7483. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG A
  7484.  
  7485.  
  7486.         Attempt to violate license agreements.
  7487.         Versuch, Lizenzvereinbarungen zu verletzen.
  7488.  
  7489.                 Aus offensichtlichen Gründen wird TbClean dieses Programm
  7490.                 nicht disassemblieren.
  7491.  
  7492.         Encountered keyboard input request.
  7493.         Auftreten einer Tastaturabfrage.
  7494.  
  7495.                 Das emulierte Programm versucht, von der Tastatur zu lesen.
  7496.                 Ein Verhalten, das für Viren sehr ungewöhnlich ist. Wahr-
  7497.                 scheinlich ist die Datei gar nicht infiziert.
  7498.  
  7499.         Encountered an invalid instruction.
  7500.         Auftreten einer ungültigen Instruktion.
  7501.  
  7502.                Der Emulator ist auf eine unbekannte Instruktion gestoßen. Die
  7503.                Emulation schlug aus irgendwelchen Gründen fehl. Das Programm
  7504.                kann wahrscheinlich nicht desinfiziert werden.
  7505.  
  7506.         DOS program-terminate request.
  7507.         Programmbeendigungsaufforderung an DOS.
  7508.  
  7509.                Das emulierte Programm fordert DOS auf, die Ausführung des
  7510.                Programms zu beenden. Das Programm ist entweder keinesfalls
  7511.                infiziert oder von einem überschreibenden Virus infiziert,
  7512.                der die Kontrolle nicht an das infizierte Programm weitergibt.
  7513.                Das Programm kann nicht desinfiziert werden.
  7514.  
  7515.         Jumped to original program entry point.
  7516.         Sprung zum Originaleinsprungspunkt.
  7517.  
  7518.                 Das Programm ist an die Startposition zurückgesprungen. Es
  7519.                 ist sehr wahrscheinlich infiziert. Das Programm kann wahr-
  7520.                 scheinlich wiederhergestellt werden.
  7521.  
  7522.  
  7523.  
  7524. TbDriver
  7525.  
  7526.         Another version of TbDriver is already resident!
  7527.                 Sie haben ein Programm TbDriver.Exe mit einer anderen Ver-
  7528.                 sionsnummer oder einem anderen Prozessortyp aufgerufen als
  7529.                 das schon speicherresidente TbDriver-Programm.
  7530.  
  7531.         Can not remove TbDriver. Unload other TSRs first!
  7532.                 Sie versuchten TbDriver aus dem Speicher zu entfernen, ob-
  7533.                 wohl andere speicherresidente Programme nach TbDriver gestar-
  7534.                 tet wurden. Speicherresidente Programme können nur in umge-
  7535.                 kehrter Reihenfolge ihres Ladens aus dem Speicher entfernt
  7536.                 werden.
  7537.  
  7538.         TbDriver was not resident.
  7539.                 Sie versuchten TbDriver aus dem Speicher zu entfernen, obwohl
  7540.                 TbDriver gar nicht speicherresident geladen war.
  7541.  
  7542.  
  7543.  
  7544. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG A
  7545.  
  7546.  
  7547.        Invalid use of option 'net'.
  7548.                 Die Option 'net' hat beim ersten Aufruf von TbDriver keine
  7549.                 Auswirkung.
  7550.  
  7551.         LAN support was already installed.
  7552.                 Sie verwendeten die Option 'net' ein weiteres Mal, oder
  7553.                 TbDriver hat die Netzwerkunterstützung schon automatisch
  7554.                 aktiviert.
  7555.  
  7556.         This version of TbDriver requires a <typeID> processor.
  7557.                 Sie verwenden eine speziell für einen Prozessortyp optimierte
  7558.                 Version von TbDriver, die mit dem vorhandenen Prozessor nicht
  7559.                 kompatibel ist.
  7560.  
  7561.  
  7562. TbScan
  7563.  
  7564.  
  7565.         Befehlszeilenfehler! (Command line error!)
  7566.                 Es wurde eine ungültige oder unzulässige Option in der
  7567.                 Befehlszeile benutzt.
  7568.  
  7569.         Keine ausführbaren Dateien gefunden!
  7570.                 Das angegebene Verzeichnis existiert nicht, ist leer oder
  7571.                 die angegebene Datei existiert nicht oder ist keine ausfür-
  7572.                 bare Datei.
  7573.  
  7574.         Logfile (Protokolldatei) kann nicht erstellt werden!
  7575.                 Der angegebene Pfad ist unzulässig, das Laufwerk ist voll
  7576.                 oder schreibgeschützt bzw. die Datei existiert schon und
  7577.                 kann nicht überschrieben werden.
  7578.  
  7579.         Selbsttest zeigt Fehler! (Sanity check failed!)
  7580.                 TbScan hat entdeckt, daß seine interne Prüfsumme nicht mehr
  7581.                 stimmt. TbScan ist möglicherweise selbst von einem Virus in-
  7582.                 fiziert. Beschaffen Sie sich eine virenfreie Kopie von TbScan
  7583.                 auf einer SCHREIBGESCHÜTZTEN, bootfähigen Diskette. Starten
  7584.                 Sie von dieser Diskette aus neu, und versuchen Sie es noch
  7585.                 einmal!
  7586.  
  7587.         [Datendatei kann nicht gelesen werden]
  7588.                 TbScan braucht den Zugang zu seiner Datendatei, um Ihnen den
  7589.                 Namen des Virus' mitteilen zu können. Hat TbScan keinen Zu-
  7590.                 griff auf diese Datei erscheint diese Meldung anstelle des
  7591.                 Viren-Namens.
  7592.   
  7593.  
  7594. TbScanX
  7595.  
  7596.         Data file not found.
  7597.                 TbScanX war nicht in der Lage, die Daten-Datei zu finden.
  7598.  
  7599.         Not enough memory.
  7600.                 Es ist nicht genügend Speicherplatz vorhanden, um die Daten-
  7601.                 Datei zu verarbeiten. Versuchen Sie die Verwendung von Aus-
  7602.                 lagerungen, oder wenn Sie diese schon verwenden, versuchen
  7603.                 Sie einen anderen Auslagerungsmodus. Siehe auch Kapitel
  7604.                 IV, Abschnitt "Speicheranforderungen".
  7605.  
  7606.  
  7607. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG B
  7608.  
  7609.  
  7610. ANHANG B. TbScan - Beschreibung der heuristischen Flags
  7611.  
  7612.  
  7613.     # - Instruktions-Entschlüsselungs-Routine gefunden
  7614.     Die Datei enthält möglicherweise eine Selbstentschlüsselungs-Routine.
  7615.     Einige kopiergeschütze Programme sind verschlüsselt und verursachen des-
  7616.     halb eine solche Meldung. Sollte diese Meldung jedoch in Verbindung mit
  7617.     anderen erscheinen, z. B. der Meldung 'T', könnte ein Virus die Ursache
  7618.     sein, und TbScan geht davon aus, daß die Datei infiziert ist. Viele Viren
  7619.     entschlüsseln sich selbst und veranlassen so diese Meldung.
  7620.  
  7621.     ! - Beschädigter Programmcode
  7622.     Ungültiger Befehlscode (nicht 8088-Instruktion) oder eine Programmver-
  7623.     zweigung außerhalb des Bereichs.
  7624.     Das Programm hat entweder eine Einsprungstelle außerhalb des Bereichs der
  7625.     Datei oder weist eine Aneinanderreihung von 'Sprüngen' auf, die bis zu
  7626.     einer Stelle außerhalb der Programmdatei verfolgt werden kann.
  7627.     Eine andere Möglichkeit ist, daß das Programm ungültige Prozessorinstruk-
  7628.     tionen enthält.
  7629.     Das überprüfte Programm ist wahrscheinlich beschädigt und kann in den
  7630.     meisten Fällen nicht ausgeführt werden. Trotzdem geht TbScan hier kein
  7631.     Risiko ein und überprüft mit Hilfe der 'Scan'-Methode die Datei.
  7632.  
  7633.     ? - Widersprüchlicher Programmkopf
  7634.     Das untersuchte Programm besitzt einen Exe-Programmkopf (Exe-Header), der
  7635.     nicht den vorliegenden Programmaufbau widerspiegelt. Das DOS-Programm
  7636.     SORT.EXE verursacht eine solche Warnung, denn die tatsächliche Programm-
  7637.     größe ist geringer als die im Programmkopf angegebene Größe des zu
  7638.     ladenden Moduls. Viele Viren aktualisieren den Exe-Programmkopf einer
  7639.     EXE-Datei nicht korrekt, nachdem sie eine Datei infiziert haben. Sollte
  7640.     diese Warnung häufiger auftauchen, dann haben Sie wahrscheinlich ein
  7641.     Problem. Im Fall des DOS-Programms SORT.EXE sollten Sie die Warnung je-
  7642.     doch ignorieren (Wir hoffen, daß Microsoft diesen Fehler vor Erscheinen
  7643.     der nächsten DOS-Version korrigiert hat).
  7644.  
  7645.     c - Keine Integritätsprüfung
  7646.     Diese Warnung besagt, daß keine Prüfsummen- und Wiederherstellungsinfor-
  7647.     mationen für die betreffende Datei gefunden wurden. Es wird dringend
  7648.     empfohlen, in diesem Fall mit TbSetup die Informationen dieser Datei
  7649.     anzulegen. Diese Informationen können später für die Integritätsprüfung
  7650.     und die Wiederherstellung der Datei Verwendung finden.
  7651.  
  7652.     h - Versteckte Datei oder Systemdatei
  7653.     Die Datei ist mit den Datei-Attributen 'Versteckt' oder 'System' ver-
  7654.     sehen. Das heißt, daß die Datei, obwohl sie in einer DOS-Verzeichnis-
  7655.     anzeige nicht sichtbar ist, dennoch von TbScan geprüft wird. Sollten
  7656.     Sie Herkunft und/oder den Zweck dieser Datei nicht kennen, so kann es
  7657.     sich um ein 'Trojanisches Pferd' oder einen 'Witz'-Virus handeln. Als
  7658.     erstes kopieren Sie diese Datei auf eine Diskette, löschen sie dann aus
  7659.     ihrem Programmumfeld und prüfen, ob das betroffene Programm die Datei
  7660.     vermißt. Sollte das Programm die gelöschte Datei nicht vermissen, dann
  7661.     haben Sie etwas zusätzlichen Speicherplatz auf Ihrer Festplatte gewonnen
  7662.     und Ihr System vielleicht vor kommenden Katastrophen bewahrt.
  7663.  
  7664.     i - Internes Overlay
  7665.     Die überprüfte Datei besitzt, wie auch im EXE-Programmkopf aufgeführt,
  7666.     hinter dem Lade-Modul zusätzliche Daten oder Programmcode. Dabei könnte
  7667.  
  7668.  
  7669. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG B
  7670.  
  7671.  
  7672.     es sich um programminterne Overlays, also nur zeitweise ladbare Pro-
  7673.     grammteile, oder um Konfigurations- oder Debug-Informationen handeln,
  7674.     die hinter dem Lade-Modul der EXE-Datei angehängt wurden.
  7675.  
  7676.     p - Gepackte oder komprimierte Datei
  7677.     Das Programm wurde gepackt oder komprimiert. Es gibt einige Utilities,
  7678.     wie etwa EXEPACK oder PKLITE, die die Fähigkeit haben, Programmdateien
  7679.     zu komprimieren. Sollte die Datei infiziert worden sein, nachdem sie
  7680.     komprimiert wurde, kann TbScan den Virus entdecken. Wurde die Datei je-
  7681.     doch infiziert, bevor sie komprimiert wurde, und mit ihr auch der Virus,
  7682.     dann kann kein Virenscanner den Virus mehr entdecken.
  7683.  
  7684.     w - Windows- oder OS/2-Programmkopf
  7685.     Das Programm ist für die Verwendung in einer Windows- (oder OS/2-) Um-
  7686.     gebung bestimmt oder geplant worden. Bis jetzt bietet TbScan noch keine
  7687.     spezielle Scanmethoden für solche Dateien. Das wird sich natürlich
  7688.     ändern, sobald Windows- oder OS/2-spezifische Viren auftreten werden.
  7689.  
  7690.     A - Verdächtige Speicherzuweisung
  7691.     Das Programm verwendet einen nicht standardgemäßen Weg, um nach Speicher
  7692.     zu suchen und/oder ihn zu belegen. Viele Viren versuchen, sich im
  7693.     Speicher zu verstecken und verwenden deshalb nicht standardgemäße Wege,
  7694.     um Speicher für sich zu belegen. Einige Programme (Programme zum Laden
  7695.     in den hohen Speicherbereich und Diagnoseprogramme) verwenden oft eben-
  7696.     falls solche Methoden, um freien Speicher zu suchen und zu belegen.
  7697.  
  7698.     B - Zurück zur Einsprungsstelle
  7699.     Das Programm scheint einigen Code auszuführen und danach zur Programmein-
  7700.     sprungstelle zurückzuspringen. Normalerweise führt dies zu einer Endlos-
  7701.     schleife, es sei denn, das Programme hätte ebenfalls einige seiner eige-
  7702.     nen Instruktionen verändert. Dies ist ein übliches Vorgehen von Computer-
  7703.     viren. In Verbindung mit anderen Warnungen meldet TbScan einen Virus.
  7704.  
  7705.     C - Veränderte Datei
  7706.     Diese Warnung kann nur dann erscheinen, wenn Sie mit TbSetup Anti-
  7707.     Vir.Dat-Dateien angelegt haben. Die Warnung besagt, daß die Datei verän-
  7708.     dert wurde. Wenn Sie die Software nicht durch eine neuere Version ersetzt
  7709.     haben, ist es sehr wahrscheinlich, daß ein Virus die Datei infiziert hat.
  7710.     Bedenken Sie, daß TbScan diese Meldung nicht anzeigt, wenn nur Änderungen
  7711.     der Programmkonfiguration in einem speziellen Bereich der Datei abgelegt
  7712.     wurden. Diese Warnung besagt, daß der Programmcode an der Einsprungstelle
  7713.     des Programms, die Einsprungstelle selbst und/oder die Dateilänge sich
  7714.     geändert haben.
  7715.  
  7716.     D - Direkter Schreibzugriff
  7717.     Dieser Buchstabe wird dann angezeigt, wenn das überprüfte Programm in der
  7718.     Nähe der Einsprungstelle Instruktionen für direkte Schreibzugriffe auf
  7719.     die Datenträger hat. Es ist völlig normal, daß einige Utilities für die
  7720.     Bearbeitung von Disketten und Festplatten so gemeldet werden. Wenn jedoch
  7721.     mehrere normale Programme (die nichts mit direkten Schreibzugriffen zu
  7722.     tun haben) mit dieser Meldung angezeigt werden, könnte Ihr Computer von
  7723.     einem unbekannten Virus infiziert worden sein.
  7724. =>  Beachten Sie, daß nicht jedes Programm, das direkte Schreibzugriffe
  7725.     durchführt, auch gemeldet wird. TbScan meldet dies nur, wenn sich die
  7726.     Instruktionen für den direkten Schreibzugriff in der Nähe der Programm-
  7727.  
  7728.  
  7729. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG B
  7730.  
  7731.  
  7732.     einsprungstelle befinden. Sollte es sich um einen Virus handeln, dann
  7733.     befinden sich die gefährlichen Instruktionen immer in der Nähe der Ein-
  7734.     sprungstelle, und nur dort sucht TbScan nach ihnen.
  7735.  
  7736.     E - Flexible Einsprungsstelle
  7737.     Das Programm startet mit einer Routine, die ihre eigene Position in der
  7738.     Programmdatei feststellt. Ein ziemlich verdächtiger Vorgang, denn selbst
  7739.     Sound-Programme haben eine festgelegte Einsprungsstelle und müssen des-
  7740.     halb ihre Position nicht erst feststellen. Für Viren ist dieses Verhalten
  7741.     hingegen üblich: bei ungefähr 50% aller bekannten Viren wird diese Mel-
  7742.     dung angezeigt.
  7743.  
  7744.     F - Verdächtiger Dateizugriff
  7745.     TbScan ist auf verdächtige Instruktionssequenzen gestoßen, die für die
  7746.     von Viren verwendeten Infektionsmechanismen üblich sind. Diese Meldung
  7747.     erscheint bei Programmen, die Dateien erzeugen oder bestehende modifi-
  7748.     zieren können.
  7749.  
  7750.     G - Unsinnige Instruktionen
  7751.     Das Programm enthält Code, der keinen anderen Zweck zu haben scheint, als
  7752.     das Verschlüsseln oder das Verstecken vor der Entdeckung durch Viren-
  7753.     scanner. Diese Meldung ist äußerst wichtig, denn es ist die einzige, die
  7754.     TbScan ohne weitere Meldungen veranlaßt, eine Vireninfektion am Bild-
  7755.     schirm anzuzeigen. In den meisten Fällen können auch gar keine anderen
  7756.     Meldungen erscheinen, da eine solche Datei eben verschlüsselt ist, und
  7757.     die Instruktionen vor dem Scanner verborgen sind. In seltenen Fällen er-
  7758.     scheint die Warnung auch bei 'normalen' Dateien. Diese Dateien sind dann
  7759.     aber schlecht programmiert, was der Grund für diese Meldung ist.
  7760.  
  7761.     J - Verdächtige Sprungkonstruktion
  7762.     Das Programm startet nicht an der Programmeinsprungstelle. Es gibt minde-
  7763.     stens zwei Sprünge, bevor der wirkliche Start-Code erreicht wird, oder
  7764.     das Programm verwendet Sprungbefehle mit indirekten Operanden. Sound-
  7765.     Programme sollten eine solche Art von ungewöhnlichem Verhalten nicht
  7766.     zeigen. Werden viele Dateien mit dieser Meldung angezeigt, sollten Sie
  7767.     Ihr System gründlich untersuchen.
  7768.  
  7769.     K - Ungebräuchlicher Stack
  7770.     Die überprüfte EXE-Datei besitzt einen ungeradzahligen (anstelle eines
  7771.     geradzahligen) Stack-Offset oder ein verdächtiges Stack-Segment. Viele
  7772.     Viren sind sehr fehlerhaft und setzen dabei einen unzulässigen
  7773.     Stack-Wert.
  7774.  
  7775.     L - Programmladefalle
  7776.     Das Programm könnte die Ausführung anderer Programme überwachen. Sollte
  7777.     die Datei außerdem mit dem Buchstaben 'M' (speicherresidenter Code) ge-
  7778.     meldet werden, ist es sehr wahrscheinlich, daß es sich um ein speicher-
  7779.     residentes Programm handelt, das feststellt, wann ein anderes Programm
  7780.     ausgeführt werden soll. Viele Viren überwachen auf diese Art das Laden
  7781.     von Programmen und benutzen diesen Vorgang, um sie zu infizieren. Auch
  7782.     einige Anti-Viren-Programme überwachen so das Laden von Programmen, um
  7783.     Viren zu entdecken.
  7784.  
  7785.     M - Speicherresident-Code
  7786.     TbScan ist auf Instruktionssequenzen gestoßen, die das Programm in die
  7787.     Lage versetzen können, sich in wichtige Interrupts einzuklinken. Viele
  7788.     TSR-Programme (Terminate and Stay Resident) lösen diese Meldung aus, da
  7789.  
  7790.  
  7791. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG B
  7792.  
  7793.  
  7794.     das Einklinken in Interrupts für solche Programme erforderlich ist.
  7795.     Trotzdem sollten Sie auf der Hut sein, wenn mehrere eigentlich nicht
  7796.     speicherresidente Programme mit dieser Meldung angezeigt werden. Es ist
  7797.     dann sehr wahrscheinlich, daß Ihre Dateien von einem Virus infiziert
  7798.     wurden, der resident im Speicher geladen bleibt.
  7799.     Bedenken Sie, daß diese Warnung nicht bei allen tatsächlichen TSR-Pro-
  7800.     grammen gemeldet wird. Auch kann man sich nicht darauf verlassen, daß die
  7801.     Entdeckung der TSR-Fähigkeit in Nicht-TSR-Programmen immer zuverlässig
  7802.     ist.
  7803.  
  7804.     N - Falsche Dateinamenserweiterung
  7805.     Namenskonflikt. Das Programm hat die Dateinamenerweiterung .EXE, scheint
  7806.     aber eigentlich eine ganz gewöhnliche Datei vom Typ .COM zu sein bzw. das
  7807.     Programm trägt die Bezeichnung .COM, besitzt aber den inneren Aufbau
  7808.     einer Datei vom Typ .EXE. In so einem Fall geht TbScan kein Risiko ein
  7809.     und überprüft die Datei auf Signaturen vom EXE- und vom COM-Typ. Eine
  7810.     falsche Dateinamenerweiterung kann in manchen Fällen auf eine Virenin-
  7811.     fektion hinweisen, in den meisten Fällen allerdings nicht.
  7812.  
  7813.     O - Überschriebener Code
  7814.     Diese Meldung wird angezeigt, wenn TbScan entdeckt, daß das Programm
  7815.     einige seiner eigenen Instruktionen überschreibt. Jedoch scheint es über
  7816.     keine vollständige Ent-/Verschlüsselungsroutine zu verfügen.
  7817.  
  7818.     R - Verdächtige Lageverschiebung
  7819.     Die Meldung 'R' bezieht sich auf verdächtige Verschiebungbefehle. Gemeint
  7820.     ist eine Instruktionssequenz, die die Lage des CS:IP verschiebt. Viren
  7821.     verwenden diese Methode häufig, besonders die, die Dateien vom COM-Typ
  7822.     infizieren. Die Überprüfung einer großen Anzahl von Viren hat ergeben,
  7823.     daß TbScan diese Meldung bei 65% aller Viren ausgibt. Diese Viren müssen
  7824.     die Lage des CS:IP verschieben, weil sie für eine spezielle Position im
  7825.     Speicher der ausführbaren Datei kompiliert wurden; ein Virus, der ein
  7826.     anderes Programm infiziert, kann jedoch seine ursprüngliche Position in
  7827.     der Datei nicht beibehalten, da er ja ans Ende der Datei angehängt wird.
  7828.     Sound-Programme kennen ihren Platz in den ausführbaren Dateien und müssen
  7829.     sich nicht selbst verschieben. Bei Computern, die normal benutzt werden,
  7830.     sollte sich nur eine sehr kleine Anzahl von Programmen finden, die diese
  7831.     Meldung verursachen.
  7832.  
  7833.     S - Suche nach ausführbaren Dateien
  7834.     Das überprüfte Programm sucht nach *.COM oder *.EXE Dateien. Das alleine
  7835.     deutet noch nicht auf einen Virus hin, ist aber ein Bestandteil der
  7836.     meisten Viren (um sich selbst zu verbreiten, müssen Viren nach geeigneten
  7837.     Dateien suchen). Sollte diese Meldung in Verbindung mit anderen angezeigt
  7838.     werden, so nimmt TbScan an, daß die Datei infiziert ist.
  7839.  
  7840.     T - Beschädigte Zeitmarke
  7841.     Die Zeitangabe der letzten Änderung an der Datei ist ungültig: z. B. ist
  7842.     die angegebene Sekundenzahl oder das Datum unmöglich oder die Jahreszahl
  7843.     liegt nach dem Jahr 2000. Das ist verdächtig, denn viele Viren setzen die
  7844.     Datei-Zeitangabe auf einen unzulässigen Wert (wie beispielsweise 62
  7845.     Sekunden), um die Datei so als schon infiziert zu markieren. Auf diese
  7846.     Weise kann der Virus verhindern, daß er eine Datei zweimal infiziert. Es
  7847.     ist möglich, daß das überprüfte Programm von einem unbekannten Virus in-
  7848.     fiziert wurde, besonders dann, wenn viele Ihrer Dateien eine ungültige
  7849.     Zeitangabe haben. Wenn nur sehr wenige Programme eine ungültige Zeitan-
  7850.  
  7851.  
  7852.  
  7853. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG B
  7854.  
  7855.  
  7856.     gabe haben, sollten Sie diese einfach korrigieren und regelmäßig scannen,
  7857.     um sicherzustellen, daß die Zeitangaben gültige Werte behalten.
  7858.  
  7859.     U - Undokumentierter Interrupt/DOS-Aufruf
  7860.     Das Programm verwendet unbekannte DOS-Aufrufe oder Interrupts. Diese
  7861.     unbekannten Aufrufe können benutzt werden, um undokumentierte Möglich-
  7862.     keiten von DOS zu verwenden oder um mit einem unbekannten Treiber im
  7863.     Speicher zu kommunizieren. Da viele Viren mit undokumentierten Fähigkei-
  7864.     ten von DOS arbeiten oder mit speicherresidenten Teilen einer zuvor ge-
  7865.     ladenen Instanz des Virus kommunizieren, ist es verdächtig, wenn sich ein
  7866.     Programm unbekannter oder undokumentierter Kommunikationsmethoden be-
  7867.     dient. Ein solches Verhalten muß aber nicht notwendigerweise auf einen
  7868.     Virus hinweisen, denn einige 'trickreiche' Programme arbeiten ebenfalls
  7869.     mit undokumentierten Aufrufen.
  7870.  
  7871.     V - Zugelassenes Programm
  7872.     Das Programm wurde zugelassen, damit ein Fehlalarm vermieden wird.
  7873.     -   Der Aufbau des Programms würde bei der heuristischen Analyse von
  7874.         TbScan normalerweise einen Fehlalarm auslösen; oder:
  7875.     -   Das Programm könnte sich regelmäßig ändern. Daher wurde es von der
  7876.         Integritätsprüfung ausgeschlossen.
  7877.     Diese Ausnahmen werden in der Anti-Vir.Dat-Datei von TbSetup (auto-
  7878.     matisch) oder TbScan (von Hand) gespeichert.
  7879.  
  7880.  
  7881.     Y - Ungültiger Bootsektor
  7882.     Der Bootsektor entspricht nicht vollständig dem von IBM definierten Boot-
  7883.     sektor-Format. Es ist wahrscheinlich, daß der Bootsektor einen Virus ent-
  7884.     hält oder beschädigt wurde.
  7885.  
  7886.     Z - EXE/COM-Bestimmung
  7887.     Das Programm scheint zu prüfen, ob eine Datei eine COM- oder EXE-Datei
  7888.     ist. Eine COM-Datei zu infizieren, unterscheidet sich grundsätzlich
  7889.     davon, eine EXE-Datei zu infizieren. Daher muß ein Virus, der beide
  7890.     Dateitypen infizieren kann, sie auch unterscheiden können.
  7891.     Natürlich gibt es auch "unschuldige" Programme, die herausfinden müssen,
  7892.     ob eine Datei eine COM- oder eine EXE-Datei ist. Beispielsweise enthalten
  7893.     Programme, die andere Programme komprimieren, Konvertierungsprogramme wie
  7894.     EXE2COM, Debugger und Programme, die andere in den hohen Speicherbereich
  7895.     laden, solche Routinen, die den Unterschied zwischen COM- und EXE-Dateien
  7896.     erkennen können.
  7897.  
  7898.  
  7899.  
  7900. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG C
  7901.  
  7902.  
  7903. ANHANG C. Lösen von Kompatbilitätsproblemen
  7904.  
  7905.  
  7906.     Obwohl die TBAV-Utilities so programmiert wurden, daß sie gut mit an-
  7907.     deren speicherresidenten Programmen zusammenarbeiten können, ist dies
  7908.     bei anderer Programmen nicht unbedingt genauso, was zu Systemfehlern
  7909.     oder Schlimmerem führen kann.
  7910.  
  7911.  
  7912.     Problem: Wenn eines der TBAV-Utilities versucht, eine Nachricht anzu-
  7913.              zeigen, erscheint der Text 'message file <Dateiname> could
  7914.              not be opened'.
  7915.  
  7916.     Lösung:  Geben Sie hinter dem Aufruf des TbDriver-Programms den ganzen
  7917.              Pfadnamen der Meldungs-Datei an, die Sie verwenden möchten.
  7918.              Geben Sie keine Datei an, wird die Datei TbDriver.Lng verwendet.
  7919.  
  7920.  
  7921.     Problem: Sie arbeiten mit einem Netzwerk.
  7922.  
  7923.              TbScanX wurde erfolgreich gestartet, aber zeigt bei Dateizu-
  7924.              griffen nicht die Meldung "*scanning*" an und entdeckt auch
  7925.              keine Viren.
  7926.  
  7927.              TbCheck wurde erfolgreich installiert, aber zeigt bei Dateizu-
  7928.              griffen nicht die Meldung "*checking*" an und entdeckt auch
  7929.              keine Viren.
  7930.  
  7931.              TbFile wurde erfolgreich installiert, aber es entdeckt über-
  7932.              haupt nichts mehr.
  7933.  
  7934.              TbMem wurde erfolgreich installiert, aber es entdeckt keine
  7935.              TSR-Programme mehr.
  7936.  
  7937.     Lösung:  Starten Sie TbDriver mit der Option "net", nachdem des Netzwerk
  7938.              gestartet wurde.
  7939.  
  7940.  
  7941.  
  7942.     Problem: Das System hängt sich manchmal auf, während die Meldung
  7943.              "*scanning*" oder "*checking*" angezeigt wird. Das Problem
  7944.              ist schwer reproduzierbar. Der Computer hängt sich manchmal
  7945.              auf, wenn Sie 'NO' (Ausführung NICHT verhindern) auf eine Mel-
  7946.              dung von TbMem, TbFile oder TbDisk antworten.
  7947.  
  7948.     Lösung:  Versuchen Sie die Verwendung des Programms StackMan. StackMan
  7949.              ist Bestandteil des TBAV-Programmpaketes.
  7950.  
  7951.  
  7952.         TbScanX: Bringt der Einsatz von StackMan keine Besserung, können Sie
  7953.         versuchen, TbScanX ohne die Optionen 'ems' oder 'xms' zu verwenden.
  7954.         Wenn TbScanX dann ohne Probleme arbeitet, setzen Sie die Option 'ems'
  7955.         oder 'xms' wieder ein, zusammen mit der Option 'compat'. Bei einigen
  7956.         wenigen Systemen kann die 'xms'-Option gar nicht benutzt werden kann,
  7957.         da die Verwendung von Extended Memory durch speicherresidente Pro-
  7958.         gramme nicht zulässig ist.
  7959.  
  7960. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG C
  7961.  
  7962.  
  7963.     Problem: Es ist nicht möglich, ein bestimmtes TSR-Programm nach TbScanX
  7964.              zu laden. Das TSR meldet, daß es schon in den Speicher geladen
  7965.              wurde, was jedoch nicht richtig ist.
  7966.  
  7967.     Lösung:  Verwenden Sie die Option 'compat', wenn Sie TbScanX laden. Denn
  7968.              die Ursache ist, daß das TSR-Programm und TbScanX den selben
  7969.              Multiplex-Interrupt-Aufruf verwenden.
  7970.  
  7971.  
  7972.  
  7973.     Problem: Alles arbeitet korrekt, aber sobald Sie ein ganz bestimmtes
  7974.              speicherresidentes Programm starten, hängt sich der Computer
  7975.              auf, nachdem sich das TSR resident in den Speicher geladen hat.
  7976.              Die TbScanX-Option 'compat' löst das Problem nicht.
  7977.  
  7978.     Lösung:  Benutzen Sie StackMan mit der Option '-dos' und versuchen Sie
  7979.              es erneut.
  7980.  
  7981.  
  7982.  
  7983.     Problem: Nachdem Sie einem Programm erlaubt haben, im Speicher resident
  7984.              zu werden, fragt TbMem beim nächsten Aufruf des Programms wieder.
  7985.  
  7986.     Lösung:  1) Die Startoption 'secure' von TbDriver wurde verwendet. Ent-
  7987.                 fernen Sie sie. Versuchen Sie es nach einem Neustart Ihres
  7988.                 Computers erneut. 
  7989.              2) Das besagte Programm taucht in der Datei Anti-Vir.Dat nicht
  7990.                 auf, weshalb TbMem die Erlaubnis nicht abspeichern kann. Er-
  7991.                 zeugen Sie mit TbSetup die nötigen Informationen für das
  7992.                 Programm.
  7993.  
  7994.  
  7995.  
  7996.     Problem: Der Computer hängt sich manchmal auf, wenn Sie mit 'YES'
  7997.              (Ausführung verhindern) auf eine Meldung von TbMem antworten.
  7998.  
  7999.     Lösung:  Keine. Einige speicherresidente Programme greifen so tiefgehend
  8000.              in den Computer ein, bevor sie speicherresident werden, daß
  8001.              nach einer gewaltsamen Entfernung aus dem Speicher das System
  8002.              nicht mehr stabil arbeitet.
  8003.  
  8004.  
  8005.  
  8006.     Problem: Wenn Sie TbDisk von der DOS-Befehlszeile aus aufrufen, arbeitet
  8007.              zunächst alles richtig. Starten Sie TbDisk hingegen von der
  8008.              config.sys oder der autoexec.bat aus, warnt es ständig vor
  8009.              direkten Schreibzugriffen. 
  8010.  
  8011.     Lösung:  Verschieben Sie den Aufruf von TbDisk ans Ende der Autoexec.Bat.
  8012.  
  8013.  
  8014.     Problem: Sie formatierten mit dem DOS-Programm FORMAT.COM die Festplatte,
  8015.              aber TbDisk meldete nichts, bis der Vorgang beinahe beendet war.
  8016.  
  8017.     Lösung:  Dies ist kein Problem. Ein Formatierungsprogramm wie FORMAT.COM
  8018.              formatiert die Festplatte nicht, sondern liest alle Spuren ein,
  8019.  
  8020.  
  8021. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG C
  8022.  
  8023.  
  8024.              um möglicherweise defekte Stellen zu finden. Danach wird die
  8025.              Dateizuordnungstabelle FAT und die Verzeichnisstruktur geleert.
  8026.              Nur dieser letzte Schritt ist ein Schreibzugriff, so daß auch
  8027.              nur er von TbDisk bemerkt wird.
  8028.  
  8029.  
  8030.     Problem: Nachdem ich einem Programm einmal die Erlaubnis für direkte
  8031.              Zugriffe erteilt habe, fragt TbDisk bei der nächsten Verwendung
  8032.              des Programms wieder nach.
  8033.  
  8034.     Lösung:  1) Die Option 'secure' von TbDriver wurde verwendet. Entfernen
  8035.                 Sie diese Option, starten Sie den Computer erneut und versu-
  8036.                 chen Sie es noch einmal.
  8037.              2) Das fragliche Programm erscheint nicht in der Datei Anti-
  8038.                 Vir.Dat, weshalb TbDisk den Hinweis auf die Erlaubnis nicht
  8039.                 abspeichern kann. Verwenden Sie TbSetup, um den betreffenden
  8040.                 Eintrag in der Datei Anti-Vir.Dat zu erstellen!
  8041.  
  8042.  
  8043.  
  8044.     Problem: Wenn Sie in Windows den schnellen 32-Bit-Zugriff verwenden
  8045.              möchten, meldet Windows beim Starten einen Fehler.
  8046.  
  8047.     Lösung:  Verwenden Sie beim Aufruf von TbDisk die Option 'win32'.
  8048.  
  8049.  
  8050. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG D
  8051.  
  8052.  
  8053. ANHANG D. Exit-Codes
  8054.  
  8055.  
  8056.      TbScan endet mit der Rückgabe eines der folgenden Exit-Codes an DOS.
  8057.  
  8058.      Errorlevel      0        Keine Viren gefunden / kein Fehler aufgetreten
  8059.                      1        Keine Dateien gefunden
  8060.                      2        Fehler aufgetreten
  8061.                      3        Dateien haben sich geändert
  8062.                      4        Virus durch heuristische Analyse gefunden
  8063.                      5        Virus durch Signaturen-Suche gefunden
  8064.                    255        Fehler bei Selbsttest
  8065.  
  8066.  
  8067.      TbUtil endet mit der Rückgabe eines der folgenden Exit-Codes:
  8068.  
  8069.  
  8070.      Errorlevel      0        Kein Fehler aufgetreten
  8071.                      1        Wenn Option 'compare' fehlgeschlagen oder
  8072.                               ein Fehler aufgetreten ist
  8073.  
  8074.  
  8075.      Alle anderen Utilities enden mit der Rückgabe eines der folgenden
  8076.      Exit-Codes:
  8077.  
  8078.      Errorlevel      0        Kein Fehler aufgetreten
  8079.                      1        Fehler aufgetreten
  8080.  
  8081.  
  8082. TBAV Handbuch (C) 1993 Thunderbyte B.V.                             ANHANG E
  8083.  
  8084.  
  8085. ANHANG E. Benennung von Viren
  8086.  
  8087.  
  8088.      Wieviele Viren werden von TbScan entdeckt?
  8089.  
  8090.      Bei den meisten der von TbScan verwendeten Signaturen handelt es sich
  8091.      um Signaturenfamilien: Jede einzelne Signatur deckt eine Vielzahl von
  8092.      Viren ab; alle diese Viren sind miteinander 'verwandt'. Z.B. deckt die
  8093.      Jerusalem-Signatur mehr als 100 Viren ab. Aus diesem Grund kann man
  8094.      nicht sagen, wieviele Viren TbScan entdeckt. 
  8095.  
  8096.      Einige vergleichbare Programme betrachten jede einzelne Mutante als ei-
  8097.      nen separaten Virus und behaupten daher, mehr als 2000 Viren entdecken
  8098.      zu können. Obwohl TbScan nur mit 1000 Signaturen arbeitet, entdeckt das
  8099.      Programm bei weitem mehr Viren als 'nur' 1000. Wenn Sie Virenscanner
  8100.      vergleichen wollen, sollten Sie auf die in Fachmagazinen häufig publi-
  8101.      zierten Tests zurückgreifen.
  8102.  
  8103.  
  8104.      Die Namenskonventionen für Viren
  8105.  
  8106.      TbScan folgt bei der Viren-Benennung den Empfehlungen der CARO. Die CARO
  8107.      ist eine Organisation, in der führende Anti-Viren-Forscher zusammenge-
  8108.      schlossen sind. Viren sind in einem hierarchisch aufgebauten Baum ange-
  8109.      ordnet, an welchem abzulesen ist, zu welcher Familie ein Virus gehört.
  8110.      TbScan zeigt den vollständigen CARO-Namen an, wenn dies möglich ist.
  8111.      Andere Anti-Viren-Proukte hingegen zeigen entweder nur den Familien-
  8112.      namen oder nur den Mitgliedsnamen an. So wird beispielsweise der
  8113.      'Leprosy.Seneca.493'-Virus nur mit dem Familienname 'Leprosy' oder
  8114.      dem Mitgliedsnamen 'Seneca' oder sogar nur mit dem Variantennamen '493'
  8115.      angegeben.
  8116.  
  8117.      Anti-Viren-Produkte, die nicht von CARO-Mitgliedern entwickelt wurden,
  8118.      können sogar völlig andere Namen verwenden. TbScan versucht jedoch, den
  8119.      Namen so vollständig als möglich anzuzeigen. Kann TbScan z.B. nicht
  8120.      zwischen dem 'Leprosy.Seneca.493'- und dem 'Leprosy.Seneca.517'-Virus
  8121.      unterscheiden, werden beide Viren als 'Leprosy.Seneca' bezeichnet.
  8122.  
  8123.      Manche Viren mutieren häufig. Um alle Stufen eines solchen Virus zu
  8124.      entdecken, ist es manchmal notwendig, Mehrfach-Siganturen einzusetzen.
  8125.      Obwohl diese Signaturen ein und denselben Virus abdecken, haben Sie
  8126.      eine etwas andere Darstellung: Hinter dem Virenname sehen Sie eine
  8127.      Nummer in spitzen Klammern. Diese hat nichts mit dem Namen des Virus
  8128.      zu tun, sie hat lediglich interne Funktionen.
  8129.  
  8130.  
  8131.